جهة مرتبطة بالصين تُعرف باسم VAPOR PANDA اخترقت تسعة من بين أكثر من 200 هدف باستخدام وكلاء الذكاء الاصطناعي

قالت CrowdStrike إن الجهة المعادية المرتبطة بالصين VAPOR PANDA استخدمت إطار ARTEX للاختراق، المدعوم بالذكاء الاصطناعي، والذي شُغِّل أساسًا على نموذج DeepSeek اللغوي الكبير المطوَّر في الصين، إلى جانب نموذج تجاري ثانٍ، لاستهداف أكثر من 200 مؤسسة في 14 دولة على الأقل خلال فترة امتدت 11 يومًا وبدأت في 17 أكتوبر 2026. وأكدت CrowdStrike Intelligence وقوع نشاط ما بعد الاستغلال في تسع مؤسسات، في تقرير نُشر في 29 أكتوبر 2026.

رصدت CrowdStrike OverWatch نشاط الاستغلال الصادر عن وحدة تحكم واحدة لـ ARTEX، ربطت CrowdStrike Intelligence بينها وبين البنية التحتية لـ VAPOR PANDA. وكانت وحدة التحكم تكشف دوريًا أدوات الجهة المعادية وملفات الأهداف وسجلات محادثات الوكلاء، ما يشير إلى تنفيذ عدة عمليات، تُسمى «مهام» داخل الإطار، ضد أهداف متعددة. وفي المؤسسات التسع التي تأكد فيها نشاط ما بعد الاستغلال، حصلت الجهة المعادية على إمكانية الوصول، ونشرت الباب الخلفي BLOODALCHEMY، ثم انتقلت إلى رشّ بيانات الاعتماد، وفحص الشبكات، والاستطلاع. كما نفذت الجهة المعادية هجمات رشّ كلمات المرور وفحص بيانات الاعتماد ضد 12 مؤسسة أخرى على الأقل، من بينها مراكز أبحاث وجهات حكومية في أوروبا مقرها الولايات المتحدة.

استهداف مناطق وقطاعات متعددة

أفادت CrowdStrike بأن VAPOR PANDA نفذت عمليات اختراق واسعة النطاق داخل وزارتي خارجية في دولتين من أمريكا اللاتينية، ويُرجّح أنها اخترقت وزارة ثالثة، كما أعدّت ملفات أهداف لاستخدامها لاحقًا ضد وزارات خارجية في أمريكا الوسطى وآسيا. واخترقت الجهة المعادية أيضًا وزارة داخلية في الشرق الأوسط.

قالت CrowdStrike إن إحدى العمليات ركزت على دولة أوروبية واحدة، مستهدفةً وزارة خارجيتها ورئاسة الدولة ومكتب رئيس الوزراء، إلى جانب جهات معنية بالدفاع والعدل والمالية والاستخبارات. واستهدفت عملية أخرى 19 مؤسسة مقرها الولايات المتحدة، تعمل في قطاعات الأدوية وأشباه الموصلات والدفاع والطاقة النووية والقطاع المالي. كما اختُرقت شركات اتصالات في الولايات المتحدة وبلجيكا والفلبين.

من داخل عملية ARTEX

قالت CrowdStrike إن VAPOR PANDA شغّلت ARTEX أساسًا باستخدام نموذج DeepSeek، مع الاستعانة بنموذج لغوي كبير تجاري آخر قائم على الاشتراك، لم تتمكن CrowdStrike Intelligence من تأكيد هويته. وفي عملية اختراق واحدة، استهلكت وكلاء التخطيط لدى الجهة المعادية نحو 1.4 مليار رمز إدخال، وهو رقم قالت CrowdStrike إنه يعكس حجم النشاط المؤتمت، ويشير إلى أن العملية ككل استهلكت أكثر من ذلك بكثير.

بحسب CrowdStrike، يجمع ARTEX بين وكيل رئيسي ووكلاء تخطيط وتنفيذ تابعين يتشاركون رسمًا بيانيًا للحقائق والنتائج والأهداف، وينقلون كل عملية من الوصول الأولي، مرورًا باستطلاع المضيف، وصولًا إلى التحرك الجانبي. وأبقى الإطار الإنسان ضمن حلقة التحكم. وأظهرت السجلات المستعادة مشغّلًا يصدر تعليمات باللغة الصينية، موسومة بتسمية تُرجمت إلى «تعليمات بشرية» ومؤرخة وفق توقيت الصين القياسي، ويطلب من الوكلاء إنشاء أغلفة ويب، واستخراج بيانات اعتماد مسؤول النطاق، والتحقق من نطاق تغطية مستشعرات نقاط النهاية.

فصّل التقرير عمل الوكيل لدى مؤسستين أمريكيتين في قطاع الأدوية. في المؤسسة الأولى، جمع الوكيل بين تأكيد Security Assertion Markup Language (SAML) غير موقّع وثغرة في كيان خارجي لـ XML (XXE) للوصول إلى خدمة بيانات تعريف المثيل السحابية، والحصول على دور يتيح إصدار أوامر إدارية لآلاف المثيلات، ثم استعاد من خلالها حساب مسؤول المؤسسة. وفي المؤسسة الثانية، زرع الوكيل أغلفة ويب، واستغل خدمة تنسيق غير موثَّق للوصول إلى صلاحيات الجذر داخل بيئة حاويات إنتاجية، وقرأ كلمات مرور حل كلمات مرور المسؤول المحلي، وأساء استخدام التفويض المقيّد القائم على الموارد لانتحال حساب ذي امتيازات.

ويصف التقرير أيضًا عملية استهدفت جهة حكومية يونانية، زوّد فيها المشغّل الوكيلَ بتصدير لدليل المؤسسة من خادم البريد، يعود إلى عام 2022، ويحتوي على مفاتيح مصادقة يُرجّح أنها لم تُدوَّر منذ ذلك الحين. واستخدم الوكيل تلك المفاتيح لتزوير رمز مسؤول وقراءة صناديق البريد، ثم دخل إلى الشبكة الداخلية عبر إعدادات VPN مأخوذة من رسالة أرسلها أحد المستخدمين، ومفتاح عميل VPN قال المشغّل إنه حصل عليه من تسريب رسائل بريد إلكتروني في مايو 2024.

قالت CrowdStrike إن الوكلاء اتبعوا، في هذه العمليات، مسارات هجوم متعددة بالتوازي، شملت تطبيقات الويب والخدمات السحابية وبيئات الحاويات وActive Directory والبنية التحتية للبريد الإلكتروني وVPN، وانتقلوا إلى أساليب بديلة عند إخفاق أحد المسارات. وكانت CrowdStrike قد رصدت سابقًا جهات تهديد تستخدم وكلاء الذكاء الاصطناعي للمساعدة في عمليات اختراق فردية، لكن VAPOR PANDA نفذت عدة عمليات في الوقت نفسه، ولم يتدخل المشغّل إلا لتوجيه الوكلاء إلى مسارات أخرى عند نقاط اتخاذ القرار. كما وجّه المشغّل الوكلاء إلى تفادي دفاعات نقاط النهاية؛ ففي مؤسسة عالمية لقطاع الأدوية، طلب منهم: «اعثروا على أجهزة Windows في النطاق لا تحتوي على Falcon، استنادًا إلى قوائم المهام ومحتويات المجلدات»، مستخدمًا، بحسب ما حددته CrowdStrike، تعبيرًا دارجًا لدى فرق الاختبار الهجومي في جمهورية الصين الشعبية للإشارة إلى مستشعر CrowdStrike Falcon.

نشر BLOODALCHEMY

أفادت CrowdStrike بأن VAPOR PANDA نشرت BLOODALCHEMY، وهو باب خلفي وُثّق علنًا للمرة الأولى في أكتوبر 2023، في وزارة داخلية مقرها الشرق الأوسط ووزارة خارجية مقرها أمريكا اللاتينية. وأعادت الجهة المهاجمة تسمية ملف GameHook التنفيذي الشرعي إلى svchost.exe واستخدمته لتحميل ملف DLL خبيث هو graphics-hook-filter64.dll، الذي فكّ بدوره تشفير ملف حمولة BLOODALCHEMY المسمى graphics-hook_config.bin. كما وضعت نسخًا من الملفات الثلاثة في أدلة مفتوحة مكشوفة. ويحتوي البرنامج المزروع على مسار مشروع داخلي هو D:\ProjectX\Merman_New\، وقالت CrowdStrike إنه يُرجح أن يعكس الاسم الذي استخدمته الجهة المطوّرة داخليًا للبرمجية الخبيثة. وتواصلت BLOODALCHEMY مع بنية VAPOR PANDA التحتية، بما فيها نطاقا القيادة والتحكم nginxmysql.com وsqlserver-sqlite.com، وهما من المؤشرات التي قال التقرير إنها لم ترد في تقارير ARTEX العامة السابقة.

التقييم والتدابير الدفاعية الموصى بها

ذكرت CrowdStrike أن هذه الحملة تختلف عن نشاط ARTEX الذي أوردته مصادر في القطاع تحت تسمية Storm-0940، والذي يشير، بحسب تقديرها، على الأرجح إلى أن هذا الإطار يكتسب شعبية بسرعة بين جهات معادية متعددة مرتبطة بالصين. ومنذ عام 2021، استهدفت VAPOR PANDA في الغالب جهات حكومية ومراكز أبحاث ومؤسسات في قطاعي الطاقة والصناعات الاستخراجية في أوروبا وأمريكا الشمالية وأوقيانوسيا والمملكة المتحدة، بهدف ترسيخ موطئ قدم طويل الأمد. ووصف التقرير هذه الحملة بأنها المرة الأولى التي ترصد فيها CrowdStrike استخدام الجهة المهاجمة أدوات اقتحام مدعومة بالذكاء الاصطناعي، وبأنها توسع ملحوظ لنطاق الاستهداف ليشمل مؤسسات الأدوية وأشباه الموصلات والطاقة النووية والدفاع، فضلًا عن وزارات خارجية في مناطق جديدة. ووفقًا للتقرير، يُرجح أن اعتماد العملية على DeepSeek ونماذج تجارية إضافية، تُشغَّل عبر بيئة تشغيل مصممة خصيصًا، يعكس محاولة متعمدة لبناء سلسلة أدوات مرنة عبر عدة مزودي نماذج بدلًا من الاعتماد على خدمة واحدة.

قدّرت CrowdStrike أن الجهات المعادية المرتبطة بالصين ستواصل، على الأرجح بدرجة كبيرة، اعتماد أطر عمل قائمة على الوكلاء مثل ARTEX خلال الاثني عشر شهرًا المقبلة، وإقرانها بنماذج لغوية كبيرة متاحة تجاريًا، بما يمكّن فرقًا صغيرة من توسيع نطاق عمليات الاختراق لتشمل أهدافًا كثيرة في وقت واحد.

يوصي التقرير المؤسسات بتدوير مفاتيح التوقيع ومفاتيح ما قبل المصادقة وبيانات اعتماد الخدمات عقب أي تعرض مشتبه به للبيانات، بما في ذلك المفاتيح الموجودة في النسخ الاحتياطية القديمة وملفات تصدير الدليل؛ وفرض التحقق من توقيعات SAML، واشتراط IMDSv2، وقصر صلاحيات تنفيذ الأوامر للأدوار السحابية على الحد الأدنى اللازم من المثيلات؛ والبحث عن مؤشرات ARTEX، مثل السلاسل artx أو artex في معاملات سطر الأوامر، والأدوار السحابية التي تبدأ تسمياتها بـ artx، والدليل C:\ProgramData\artx5v\؛ وتحديث الأجهزة المتصلة بالإنترنت، ولا سيما الخوادم طويلة الأمد القائمة على Linux؛ ونشر وكيل آني لكشف التهديدات والاستجابة لها على نقاط النهاية في جميع أنحاء البيئة، بما يشمل الخوادم التي يُعتقد أنها غير قابلة للوصول من الإنترنت العام.