Ο κινεζικής διασύνδεσης VAPOR PANDA παραβίασε εννέα από τους περισσότερους από 200 στόχους χρησιμοποιώντας πράκτορες τεχνητής νοημοσύνης

Η CrowdStrike ανέφερε ότι ο αντίπαλος VAPOR PANDA, ο οποίος συνδέεται με την Κίνα, χρησιμοποίησε το πλαίσιο εισβολών ARTEX, που βασίζεται στην τεχνητή νοημοσύνη και λειτουργούσε κυρίως με το μεγάλο γλωσσικό μοντέλο DeepSeek, το οποίο αναπτύχθηκε στην Κίνα, καθώς και με ένα δεύτερο εμπορικό μοντέλο, για να στοχεύσει περισσότερους από 200 οργανισμούς σε τουλάχιστον 14 χώρες μέσα σε διάστημα 11 ημερών, με αφετηρία τις 17 Οκτωβρίου 2026. Η CrowdStrike Intelligence επιβεβαίωσε δραστηριότητα μετά την εκμετάλλευση ευπαθειών σε εννέα οργανισμούς, σε έκθεση που δημοσιεύτηκε στις 29 Οκτωβρίου 2026.

Η CrowdStrike OverWatch παρατήρησε ότι η δραστηριότητα εκμετάλλευσης ευπαθειών προερχόταν από έναν μόνο ελεγκτή ARTEX, τον οποίο η CrowdStrike Intelligence συνέδεσε με την υποδομή του VAPOR PANDA. Ο ελεγκτής εξέθετε περιοδικά εργαλεία του αντιπάλου, αρχεία στόχων και απομαγνητοφωνήσεις των πρακτόρων, γεγονός που υποδείκνυε πολλαπλές επιχειρήσεις —που στο πλαίσιο ονομάζονται εργασίες— εναντίον πολλών στόχων. Στους εννέα οργανισμούς όπου επιβεβαιώθηκε δραστηριότητα μετά την εκμετάλλευση ευπαθειών, ο αντίπαλος απέκτησε πρόσβαση, εγκατέστησε την κερκόπορτα BLOODALCHEMY και προχώρησε σε μαζικές δοκιμές διαπιστευτηρίων, σάρωση δικτύου και αναγνώριση. Ο αντίπαλος πραγματοποίησε επίσης επιθέσεις δοκιμής κωδικών πρόσβασης και σάρωσης διαπιστευτηρίων εναντίον τουλάχιστον 12 ακόμη οργανισμών, μεταξύ των οποίων δεξαμενές σκέψης με έδρα τις ΗΠΑ και κυβερνητικοί φορείς στην Ευρώπη.

Στόχευση σε διαφορετικές περιοχές και κλάδους

Η CrowdStrike ανέφερε ότι το VAPOR PANDA πραγματοποίησε εκτεταμένες εισβολές στα υπουργεία Εξωτερικών δύο χωρών της Λατινικής Αμερικής, πιθανότατα παραβίασε και τρίτο, ενώ προετοίμασε αρχεία στόχων για μελλοντική χρήση εναντίον υπουργείων Εξωτερικών στην Κεντρική Αμερική και την Ασία. Ο αντίπαλος παραβίασε επίσης υπουργείο Εσωτερικών στη Μέση Ανατολή.

Η CrowdStrike ανέφερε ότι μία επιχείρηση επικεντρώθηκε σε μία ευρωπαϊκή χώρα: στο υπουργείο Εξωτερικών, την προεδρία και το γραφείο του πρωθυπουργού της, καθώς και σε φορείς άμυνας, δικαιοσύνης, οικονομικών και πληροφοριών. Μια άλλη επιχείρηση στόχευσε 19 οργανισμούς με έδρα τις ΗΠΑ στους κλάδους της φαρμακευτικής, των ημιαγωγών, της άμυνας, της πυρηνικής ενέργειας και των χρηματοοικονομικών. Παραβιάστηκαν επίσης πάροχοι τηλεπικοινωνιών στις ΗΠΑ, το Βέλγιο και τις Φιλιππίνες.

Στο εσωτερικό της επιχείρησης ARTEX

Η CrowdStrike ανέφερε ότι το VAPOR PANDA χρησιμοποιούσε το ARTEX κυρίως με το μοντέλο DeepSeek, ενώ το συμπλήρωνε με ένα δεύτερο εμπορικό μεγάλο γλωσσικό μοντέλο που λειτουργούσε με συνδρομή και το οποίο η CrowdStrike Intelligence δεν μπόρεσε να επιβεβαιώσει. Σε μία μόνο εισβολή, οι πράκτορες σχεδιασμού του αντιπάλου επεξεργάστηκαν περίπου 1,4 δισεκατομμύρια διακριτικά εισόδου (tokens), αριθμός που, σύμφωνα με την CrowdStrike, καταδεικνύει την κλίμακα της αυτοματοποιημένης δραστηριότητας και υποδηλώνει ότι η επιχείρηση συνολικά επεξεργάστηκε πολύ περισσότερα.

Σύμφωνα με την CrowdStrike, το ARTEX συνδυάζει έναν κύριο πράκτορα με δευτερεύοντες πράκτορες σχεδιασμού και εκτέλεσης, οι οποίοι μοιράζονται ένα γράφημα με γεγονότα, ευρήματα και στόχους και προωθούν κάθε επιχείρηση από την αρχική πρόσβαση έως την αναγνώριση συστημάτων και την πλευρική μετακίνηση στο δίκτυο. Στο πλαίσιο παρέμενε άνθρωπος στον βρόχο ελέγχου. Οι ανακτηθείσες απομαγνητοφωνήσεις έδειξαν έναν χειριστή να δίνει οδηγίες στα κινεζικά, με την ένδειξη που μεταφράζεται ως «οδηγία ανθρώπου» και χρονοσήμανση σε ώρα Κίνας, ζητώντας από τους πράκτορες να δημιουργήσουν web shells, να εξαγάγουν διαπιστευτήρια διαχειριστή τομέα και να ελέγξουν την κάλυψη από αισθητήρες τερματικών συσκευών.

Η έκθεση περιέγραψε τη δράση των πρακτόρων σε δύο φαρμακευτικούς οργανισμούς με έδρα τις ΗΠΑ. Στον πρώτο, ο πράκτορας συνδύασε έναν ανυπόγραφο ισχυρισμό Security Assertion Markup Language (SAML) με μια ευπάθεια XML external entity (XXE), ώστε να αποκτήσει πρόσβαση στην υπηρεσία μεταδεδομένων στιγμιοτύπων του cloud. Έτσι απέκτησε ρόλο που μπορούσε να εκτελεί εντολές διαχείρισης σε χιλιάδες στιγμιότυπα και, στη συνέχεια, ανέκτησε έναν λογαριασμό εταιρικού διαχειριστή. Στον δεύτερο, ο πράκτορας εγκατέστησε web shells, εκμεταλλεύτηκε μια υπηρεσία ενορχήστρωσης χωρίς έλεγχο ταυτότητας για να αποκτήσει πρόσβαση root σε περιβάλλον κοντέινερ παραγωγής, διάβασε κωδικούς πρόσβασης του Local Administrator Password Solution και έκανε κατάχρηση της ανάθεσης περιορισμένης πρόσβασης βάσει πόρων για να υποδυθεί έναν προνομιούχο λογαριασμό.

Η έκθεση περιγράφει επίσης μια επιχείρηση εναντίον ελληνικού κυβερνητικού φορέα, κατά την οποία ο χειριστής έδωσε στον πράκτορα ένα αντίγραφο εξαγωγής καταλόγου του 2022 από τον διακομιστή αλληλογραφίας του οργανισμού, το οποίο περιείχε κλειδιά ελέγχου ταυτότητας που πιθανότατα δεν είχαν ανανεωθεί έκτοτε. Ο πράκτορας χρησιμοποίησε αυτά τα κλειδιά για να πλαστογραφήσει ένα διακριτικό διαχειριστή και να διαβάσει γραμματοκιβώτια. Στη συνέχεια, εισήλθε στο εσωτερικό δίκτυο μέσω ρυθμίσεων VPN που αντλήθηκαν από την απεσταλμένη αλληλογραφία ενός χρήστη και ενός κλειδιού πελάτη VPN, το οποίο, σύμφωνα με τον χειριστή, προερχόταν από διαρροή ηλεκτρονικής αλληλογραφίας του Μαΐου 2024.

Η CrowdStrike ανέφερε ότι, σε αυτές τις επιχειρήσεις, οι πράκτορες ακολουθούσαν παράλληλα πολλαπλές διαδρομές επίθεσης, καλύπτοντας εφαρμογές ιστού, υπηρεσίες cloud, περιβάλλοντα κοντέινερ, το Active Directory, καθώς και υποδομές αλληλογραφίας και VPN, και στρέφονταν σε εναλλακτικές προσεγγίσεις όταν κάποια διαδρομή αποτύγχανε. Ενώ προηγουμένως είχε παρατηρήσει φορείς απειλών να χρησιμοποιούν πράκτορες τεχνητής νοημοσύνης για να υποβοηθούν μεμονωμένες εισβολές, το VAPOR PANDA διεξήγαγε πολλές επιχειρήσεις ταυτόχρονα, με τον χειριστή να παρεμβαίνει μόνο για να αλλάξει την κατεύθυνση των πρακτόρων σε κρίσιμα σημεία λήψης αποφάσεων. Ο χειριστής έβαλε επίσης τους πράκτορες να παρακάμπτουν τις άμυνες των τερματικών συσκευών: σε έναν παγκόσμιο φαρμακευτικό οργανισμό, τους ζήτησε να «βρουν υπολογιστές Windows στον τομέα χωρίς Falcon, με βάση το tasklist και τις καταχωρίσεις φακέλων», χρησιμοποιώντας, όπως προσδιόρισε η CrowdStrike, αργκό των ομάδων δοκιμών διείσδυσης της Λαϊκής Δημοκρατίας της Κίνας για τον αισθητήρα CrowdStrike Falcon.

Εγκατάσταση του BLOODALCHEMY

Η CrowdStrike ανέφερε ότι το VAPOR PANDA ανέπτυξε το BLOODALCHEMY, μια κερκόπορτα που καταγράφηκε δημόσια για πρώτη φορά τον Οκτώβριο του 2023, σε ένα υπουργείο Εσωτερικών με έδρα τη Μέση Ανατολή και σε ένα υπουργείο Εξωτερικών με έδρα τη Λατινική Αμερική. Ο αντίπαλος μετονόμασε ένα νόμιμο δυαδικό αρχείο του GameHook σε svchost.exe και το χρησιμοποίησε για να φορτώσει ένα κακόβουλο DLL, το graphics-hook-filter64.dll, το οποίο με τη σειρά του αποκρυπτογράφησε το αρχείο ωφέλιμου φορτίου του BLOODALCHEMY, graphics-hook_config.bin. Επίσης, τοποθέτησε αντίγραφα και των τριών αρχείων σε εκτεθειμένους, δημόσια προσβάσιμους καταλόγους. Το εμφύτευμα περιέχει μια εσωτερική διαδρομή έργου, D:\ProjectX\Merman_New\, η οποία, σύμφωνα με την CrowdStrike, πιθανότατα αντανακλά την εσωτερική ονομασία ανάπτυξης του κακόβουλου λογισμικού. Το BLOODALCHEMY επικοινωνούσε με υποδομές του VAPOR PANDA, μεταξύ άλλων με τους τομείς διοίκησης και ελέγχου nginxmysql.com και sqlserver-sqlite.com, οι οποίοι, σύμφωνα με την έκθεση, δεν εμφανίζονται σε προηγούμενες δημόσιες αναφορές για το ARTEX.

Εκτίμηση και προτεινόμενα μέτρα άμυνας

Η CrowdStrike δήλωσε ότι αυτή η εκστρατεία διαφέρει από τη δραστηριότητα ARTEX που πηγές του κλάδου ανέφεραν με την ονομασία Storm-0940· κατά την εκτίμησή της, αυτό πιθανότατα δείχνει ότι το πλαίσιο κερδίζει γρήγορα δημοτικότητα μεταξύ πολλών αντιπάλων με δεσμούς με την Κίνα. Από το 2021, το VAPOR PANDA έχει στοχεύσει κυρίως κυβερνητικούς οργανισμούς, δεξαμενές σκέψης, ενεργειακούς οργανισμούς και οργανισμούς του εξορυκτικού τομέα στην Ευρώπη, τη Βόρεια Αμερική, την Ωκεανία και το Ηνωμένο Βασίλειο, με στόχο να αποκτήσει μακροχρόνια πρόσβαση. Η έκθεση περιέγραψε αυτή την εκστρατεία ως την πρώτη φορά που η CrowdStrike είχε δει τον αντίπαλο να χρησιμοποιεί εργαλεία εισβολής με τεχνητή νοημοσύνη, καθώς και ως σημαντική διεύρυνση της στόχευσής του, η οποία πλέον περιλαμβάνει φαρμακευτικούς οργανισμούς, οργανισμούς ημιαγωγών, πυρηνικούς οργανισμούς και αμυντικούς οργανισμούς, καθώς και υπουργεία Εξωτερικών σε νέες περιοχές. Σύμφωνα με την έκθεση, η εξάρτηση της επιχείρησης από το DeepSeek και πρόσθετα εμπορικά μοντέλα, τα οποία εκτελούνται μέσω ενός ειδικά σχεδιασμένου πλαισίου, πιθανότατα αντανακλά μια σκόπιμη προσπάθεια δημιουργίας μιας ανθεκτικής αλυσίδας εργαλείων που αξιοποιεί διάφορους παρόχους μοντέλων, αντί να βασίζεται σε μία μόνο υπηρεσία.

Η CrowdStrike εκτίμησε ότι οι αντίπαλοι με δεσμούς με την Κίνα είναι πολύ πιθανό να συνεχίσουν να υιοθετούν πρακτορικά πλαίσια όπως το ARTEX τους επόμενους 12 μήνες, συνδυάζοντάς τα με εμπορικά διαθέσιμα LLM και δίνοντας τη δυνατότητα σε μικρές ομάδες να κλιμακώνουν τις εισβολές σε πολλούς στόχους ταυτόχρονα.

Η έκθεση συνιστά στους οργανισμούς να αλλάζουν τα κλειδιά υπογραφής, τα κλειδιά προεπαλήθευσης ταυτότητας και τα διαπιστευτήρια υπηρεσιών μετά από κάθε υποψία έκθεσης δεδομένων, συμπεριλαμβανομένων των κλειδιών που βρίσκονται σε παλαιότερα αντίγραφα ασφαλείας και εξαγωγές καταλόγων· να επιβάλλουν την επικύρωση υπογραφών SAML, να απαιτούν τη χρήση του IMDSv2 και να περιορίζουν τα δικαιώματα εκτέλεσης εντολών των ρόλων cloud στις ελάχιστες απαιτούμενες παρουσίες· να αναζητούν ενδείξεις του ARTEX, όπως τις συμβολοσειρές artx ή artex στις παραμέτρους της γραμμής εντολών, ρόλους cloud με πρόθεμα artx και τον κατάλογο C:\ProgramData\artx5v\· να εγκαθιστούν ενημερώσεις ασφαλείας σε συσκευές που είναι εκτεθειμένες στο διαδίκτυο, ιδίως σε διακομιστές Linux που λειτουργούν για μεγάλο χρονικό διάστημα· και να αναπτύσσουν σε όλο το περιβάλλον έναν παράγοντα ανίχνευσης και απόκρισης τερματικών σημείων σε πραγματικό χρόνο, συμπεριλαμβανομένων διακομιστών που θεωρείται ότι δεν είναι προσβάσιμοι από το δημόσιο διαδίκτυο.