Kiinaan kytköksissä oleva VAPOR PANDA murtautui tekoälyagenttien avulla yhdeksään yli 200 kohteesta

CrowdStriken mukaan Kiinaan kytköksissä oleva uhkatoimija VAPOR PANDA käytti tekoälypohjaista ARTEX-tunkeutumisjärjestelmää, jota ajettiin pääasiassa Kiinassa kehitetyllä DeepSeek-suurella kielimallilla ja toisella kaupallisella mallilla, kohdistaakseen iskunsa yli 200 organisaatioon vähintään 14 maassa 11 päivän aikana 17. lokakuuta 2026 alkaen. CrowdStrike Intelligence vahvisti hyökkäyksen jälkeistä toimintaa yhdeksässä organisaatiossa 29. lokakuuta 2026 julkaistussa raportissa.

CrowdStrike OverWatch havaitsi hyökkäystoiminnan tulevan yhdestä ARTEX-ohjaimesta, jonka CrowdStrike Intelligence yhdisti VAPOR PANDAn infrastruktuuriin. Ohjain paljasti ajoittain uhkatoimijan työkaluja, kohdetiedostoja ja agenttien keskustelulokeja, mikä viittasi useisiin toimeksiantoihin, joita järjestelmässä kutsuttiin tehtäviksi ja joita toteutettiin samanaikaisesti useita kohteita vastaan. Yhdeksässä organisaatiossa, joissa hyökkäyksen jälkeinen toiminta vahvistettiin, uhkatoimija sai jalansijan, asensi BLOODALCHEMY-takaoven ja siirtyi tunnistetietojen ruiskutukseen, verkkoskannaukseen ja tiedusteluun. Uhkatoimija toteutti myös salasanaruiskutuksia ja tunnistetietojen skannausta vähintään 12 muussa organisaatiossa, muun muassa yhdysvaltalaisissa ajatushautomoissa ja eurooppalaisissa julkishallinnon organisaatioissa.

Kohteita eri alueilla ja toimialoilla

CrowdStriken mukaan VAPOR PANDA toteutti laajoja tunkeutumisia kahden Latinalaisessa Amerikassa sijaitsevan maan ulkoministeriöihin, murtautui todennäköisesti myös kolmanteen ja valmisteli kohdetiedostoja myöhempää käyttöä varten Keski-Amerikan ja Aasian ulkoministeriöitä vastaan. Uhkatoimija murtautui myös Lähi-idässä sijaitsevaan sisäministeriöön.

CrowdStriken mukaan yksi toimeksianto keskittyi yhteen Euroopan maahan: sen ulkoministeriöön, presidentin kansliaan ja pääministerin kansliaan sekä puolustus-, oikeus-, valtiovarain- ja tiedusteluelimiin. Toisessa toimeksiannossa kohteena oli 19 yhdysvaltalaista organisaatiota lääke-, puolijohde-, puolustus-, ydinvoima- ja rahoitusalalta. Myös Yhdysvalloissa, Belgiassa ja Filippiineillä toimiviin televiestintäpalvelujen tarjoajiin murtauduttiin.

ARTEX-operaation kulissien takana

CrowdStriken mukaan VAPOR PANDA käytti ARTEXia pääasiassa DeepSeek-mallilla ja täydensi sitä toisella tilauspohjaisella kaupallisella suurella kielimallilla, jota CrowdStrike Intelligence ei pystynyt vahvistamaan. Yhdessä tunkeutumisessa uhkatoimijan suunnitteluagentit käsittelivät noin 1,4 miljardia syötetokenia. CrowdStriken mukaan luku kertoo automatisoidun toiminnan mittakaavasta ja viittaa siihen, että koko operaatiossa käsiteltiin huomattavasti enemmän tokeneita.

CrowdStriken mukaan ARTEX yhdistää pääagentin alisteisiin suunnittelu- ja suoritusagentteihin, jotka jakavat tietojen, havaintojen ja tavoitteiden muodostaman graafin. Näin kukin toimeksianto etenee alkuvaiheen pääsyn hankkimisesta isäntälaitteiden tiedusteluun ja sivuttaisliikkeeseen. Järjestelmässä oli mukana myös ihminen. Palautetuista keskustelulokeista kävi ilmi, että operaattori antoi ohjeita kiinaksi. Ohjeet oli merkitty ilmauksella, joka on käännetty muotoon ”ihmisen ohje”, ja aikaleimattu Kiinan standardiajan mukaan. Operaattori kehotti agentteja luomaan verkkokuoria, hankkimaan toimialueen järjestelmänvalvojan tunnistetiedot ja tarkistamaan päätelaitteiden sensorien kattavuuden.

Raportissa kuvattiin agentin toimintaa kahdessa yhdysvaltalaisessa lääkealan organisaatiossa. Ensimmäisessä agentti yhdisti allekirjoittamattoman Security Assertion Markup Language (SAML) -väitteen XML external entity (XXE) -haavoittuvuuteen päästäkseen pilvipalvelun Instance Metadata Service -palveluun. Näin se sai roolin, jolla pystyi antamaan hallintakomentoja tuhansille instansseille, ja hankki sen avulla yrityksen järjestelmänvalvojan tilin. Toisessa organisaatiossa agentti asensi verkkokuoria, hyödynsi tunnistautumista vailla olevaa orkestrointipalvelua saadakseen pääkäyttäjän oikeudet tuotantokäyttöön tarkoitetussa konttiympäristössä, luki Local Administrator Password Solution -salasanoja ja käytti väärin resurssipohjaista rajoitettua delegointia esiintyäkseen etuoikeutettuna tilinä.

Raportissa kuvataan myös Kreikan valtionhallinnon organisaatioon kohdistunutta toimeksiantoa. Operaattori antoi agentille organisaation sähköpostipalvelimelta peräisin olevan vuoden 2022 hakemistoviennin, joka sisälsi todennäköisesti sen jälkeen vaihtamatta jääneitä todennusavaimia. Agentti käytti avaimia väärentääkseen järjestelmänvalvojan tunnisteen ja lukeakseen postilaatikoita. Sen jälkeen se pääsi sisäverkkoon käyttäjän lähetetyistä sähköposteista saatujen VPN-määritysten ja operaattorin mukaan toukokuussa 2024 tapahtuneesta sähköpostivuodosta peräisin olleen VPN-asiakasohjelman avaimen avulla.

CrowdStriken mukaan agentit käyttivät näissä toimeksiannoissa samanaikaisesti useita hyökkäysreittejä verkkosovelluksiin, pilvipalveluihin, konttiympäristöihin, Active Directoryyn sekä sähköposti- ja VPN-infrastruktuuriin. Jos jokin reitti epäonnistui, ne siirtyivät vaihtoehtoisiin menetelmiin. Aiemmin CrowdStrike oli havainnut uhkatoimijoiden käyttävän tekoälyagentteja yksittäisten tunkeutumisten avustamiseen, mutta VAPOR PANDA toteutti useita toimeksiantoja yhtä aikaa ja puuttui toimintaan vain ohjatakseen agentteja uudelleen päätöksentekovaiheissa. Operaattori myös ohjeisti agentteja kiertämään päätelaitteiden suojauksia. Eräässä maailmanlaajuisessa lääkealan organisaatiossa operaattori kehotti agentteja ”etsimään toimialueelta Windows-koneita, joissa ei ole Falconia, tehtäväluettelon ja kansioluetteloiden perusteella”. CrowdStriken mukaan ilmaus oli Kiinan kansantasavallan punaisen tiimin slangia, jolla tarkoitettiin CrowdStrike Falcon -sensoria.

BLOODALCHEMYn käyttöönotto

CrowdStriken mukaan VAPOR PANDA käytti BLOODALCHEMY-takaovea Lähi-idässä sijaitsevassa sisäministeriössä ja Latinalaisessa Amerikassa sijaitsevassa ulkoministeriössä. Takaovi dokumentoitiin julkisesti ensimmäisen kerran lokakuussa 2023. Hyökkääjä nimesi uudelleen aidon GameHook-binääritiedoston svchost.exe-tiedostoksi ja käytti sitä haitallisen DLL-tiedoston, graphics-hook-filter64.dll:n, lataamiseen. Tämä puolestaan purki BLOODALCHEMY-hyötykuormatiedoston graphics-hook_config.bin salauksen. Hyökkääjä tallensi kaikkien kolmen tiedoston kopiot julkisesti avoimiin hakemistoihin. Haittaohjelma sisältää sisäisen projektipolun D:\ProjectX\Merman_New\, jonka CrowdStriken mukaan uskotaan todennäköisesti kuvastavan haittaohjelman sisäistä kehitysnimeä. BLOODALCHEMY oli yhteydessä VAPOR PANDAn infrastruktuuriin, johon kuuluivat muun muassa komento- ja ohjauspalvelimien verkkotunnukset nginxmysql.com ja sqlserver-sqlite.com. Raportin mukaan näitä tunnisteita ei näy aiemmissa julkisissa ARTEX-raporteissa.

Arvio ja suositellut suojautumiskeinot

CrowdStrike totesi, että tämä kampanja eroaa ARTEX-toiminnasta, josta alan lähteet ovat raportoineet Storm-0940-nimikkeellä. CrowdStriken arvion mukaan tämä viittaa todennäköisesti siihen, että kehys kasvattaa nopeasti suosiotaan useiden Kiinaan kytkeytyvien hyökkääjien keskuudessa. Vuodesta 2021 lähtien VAPOR PANDA on kohdistanut toimintansa enimmäkseen hallintoelimiin, ajatushautoihin, energia-alan toimijoihin ja kaivannaisalan organisaatioihin Euroopassa, Pohjois-Amerikassa, Oseaniassa ja Isossa-Britanniassa pyrkiessään luomaan pitkäaikaisen jalansijan. Raportissa tätä kampanjaa kuvattiin ensimmäiseksi kerraksi, jolloin CrowdStrike oli havainnut hyökkääjän käyttävän tekoälypohjaisia tunkeutumistyökaluja. Kampanja laajensi myös merkittävästi hyökkääjän kohteita lääkealan, puolijohdealan, ydinvoima-alan ja puolustusalan organisaatioihin sekä ulkoministeriöihin uusilla alueilla. Raportin mukaan operaation tukeutuminen DeepSeek-malliin ja muihin kaupallisiin malleihin, joita käytettiin tarkoitusta varten rakennetun työkalukerroksen kautta, kuvastaa todennäköisesti tietoista pyrkimystä rakentaa toimintavarma työkaluketju useiden mallipalveluntarjoajien varaan yhden palvelun sijasta.

CrowdStrike arvioi, että Kiinaan kytkeytyvät hyökkääjät ottavat erittäin todennäköisesti käyttöön lisää agenttikehyksiä, kuten ARTEXin, seuraavien 12 kuukauden aikana. Ne yhdistävät niitä kaupallisesti saatavilla oleviin suuriin kielimalleihin (LLM), jolloin pienet tiimit pystyvät laajentamaan tunkeutumisiaan useisiin kohteisiin samanaikaisesti.

Raportissa suositellaan, että organisaatiot vaihtavat allekirjoitusavaimet, esitodennusavaimet ja palvelutunnistetiedot aina, kun epäillään tietojen paljastuneen. Tämä koskee myös vanhoissa varmuuskopioissa ja hakemistovienneissä olevia avaimia. Organisaatioiden tulisi valvoa SAML-allekirjoitusten tarkistusta, edellyttää IMDSv2:n käyttöä ja rajata pilviroolien komentojen suorittamiseen liittyvät käyttöoikeudet vain välttämättömiin instansseihin. Niiden tulisi etsiä ARTEX-tunnisteita, kuten komentoriviparametreissa esiintyviä artx- tai artex-merkkijonoja, artx-etuliitteellä nimettyjä pilvirooleja ja C:\ProgramData\artx5v\-hakemistoa. Lisäksi niiden tulisi asentaa korjaukset internetiin yhteydessä oleviin laitteisiin, etenkin pitkään käytössä olleisiin Linux-pohjaisiin palvelimiin, sekä ottaa käyttöön reaaliaikainen päätelaitteiden tunnistus- ja torjunta-agentti koko ympäristössä, myös palvelimissa, joiden ei katsota olevan tavoitettavissa julkisesta internetistä.