中国とつながりのあるVAPOR PANDA、AIエージェントを使って200超の標的のうち9組織に侵入

CrowdStrikeによると、中国とつながりのある攻撃者VAPOR PANDAは、主に中国で開発された大規模言語モデルDeepSeekと、もう1つの商用モデルを用いて稼働するAI駆動型の侵入フレームワークARTEXを使い、2026年10月17日から11日間にわたり、少なくとも14カ国の200を超える組織を標的にした。CrowdStrike Intelligenceは、2026年10月29日に公開されたレポートで、9組織における侵入後の活動を確認した。

CrowdStrike OverWatchは、単一のARTEXコントローラーから侵害活動が行われていることを確認し、CrowdStrike IntelligenceはこのコントローラーをVAPOR PANDAのインフラに関連付けた。このコントローラーは、攻撃ツール、標的のファイル、エージェントの記録を定期的に公開していた。これは、フレームワーク内で「タスク」と呼ばれる複数の作戦が、複数の標的に対して進行していたことを示している。侵入後の活動が確認された9組織では、攻撃者はアクセス権を得て、バックドアBLOODALCHEMYを展開し、認証情報を狙ったスプレー攻撃、ネットワークスキャン、偵察を行った。また、米国を拠点とするシンクタンクや欧州の政府機関など、少なくともさらに12組織に対して、パスワードスプレー攻撃と認証情報のスキャンも実施した。

地域・業種をまたぐ標的

CrowdStrikeの報告によると、VAPOR PANDAは中南米の2カ国にある外務省の内部で大規模な侵入を行い、3カ国目にも侵入した可能性が高い。また、中米とアジアの外務省を後に標的にするため、標的ファイルを準備していた。さらに、中東を拠点とする内務省にも侵入した。

CrowdStrikeによると、ある作戦では欧州の1カ国に標的を絞り、同国の外務省、大統領府、首相府に加え、国防、司法、財務、情報機関の組織を狙った。別の作戦では、米国を拠点とする製薬、半導体、防衛、原子力、金融の各業界に属する19組織を標的にした。米国、ベルギー、フィリピンの通信事業者も侵害された。

ARTEX作戦の内部

CrowdStrikeによると、VAPOR PANDAは主にDeepSeekモデルを使ってARTEXを稼働させ、CrowdStrike Intelligenceが特定できなかった、サブスクリプション型の別の商用大規模言語モデルも併用していた。単一の侵入で、攻撃者の計画エージェントは約14億個の入力トークンを消費した。CrowdStrikeによれば、この数値は自動化された活動の規模を示すものであり、作戦全体ではさらに多くのトークンが消費されたことを意味する。

CrowdStrikeによると、ARTEXはメインエージェントと、それに従属する計画エージェントおよび実行エージェントで構成され、各エージェントは事実、調査結果、目標をまとめたグラフを共有する。これにより、各作戦は初期侵入からホストの偵察、ラテラルムーブメントへと進んでいく。フレームワークには人間が介在する仕組みも組み込まれていた。復元された記録によると、オペレーターは中国語で指示を出しており、その指示には「人間による指示」と訳されるラベルが付けられ、中国標準時のタイムスタンプが記録されていた。指示の内容は、エージェントにウェブシェルの作成、ドメイン管理者の認証情報の抽出、エンドポイントセンサーのカバレッジ確認を命じるものだった。

レポートでは、米国を拠点とする2つの製薬会社でエージェントが行った活動について詳述している。1社目では、エージェントは署名のないSecurity Assertion Markup Language（SAML）アサーションとXML外部実体（XXE）の脆弱性を組み合わせ、クラウドのインスタンスメタデータサービスにアクセスした。これにより、数千のインスタンスに管理コマンドを発行できるロールを取得し、そこから企業の管理者アカウントを回収した。2社目では、エージェントはウェブシェルを仕掛け、認証を必要としないオーケストレーションサービスを悪用して、本番コンテナー環境内でルート権限を取得した。さらに、Local Administrator Password Solutionのパスワードを読み取り、リソースベースの制約付き委任を悪用して、特権アカウントになりすました。

レポートは、ギリシャの政府機関を標的にした作戦についても説明している。この作戦では、オペレーターが組織のメールサーバーから取得した2022年のディレクトリーエクスポートをエージェントに渡した。そこには認証キーが含まれており、それ以降、一度も更新されていない可能性が高かった。エージェントはそれらのキーを使って管理者トークンを偽造し、メールボックスを読み取った。その後、ユーザーの送信済みメールから入手したVPN設定と、オペレーターが2024年5月のメール流出で得たと説明したVPNクライアントキーを使って、内部ネットワークに侵入した。

CrowdStrikeによると、これらの作戦ではエージェントが複数の攻撃経路を並行して追求し、ウェブアプリケーション、クラウドサービス、コンテナー環境、Active Directory、メールおよびVPNのインフラを対象とした。ある経路が失敗すると、別の方法に切り替えた。これまでCrowdStrikeが確認していたのは、脅威アクターが個々の侵入を支援するためにAIエージェントを使う事例だったが、VAPOR PANDAは複数の作戦を同時に進め、判断が必要な局面でのみ介入してエージェントの進路を修正していた。オペレーターは、エンドポイント防御を回避するようエージェントに指示することもあった。ある世界的な製薬会社では、「tasklistとフォルダー一覧を見て、ドメイン内でFalconが入っていないWindowsマシンを探せ」と指示していた。CrowdStrikeによると、ここで使われた表現は、CrowdStrike Falconセンサーを指す中華人民共和国のレッドチーム用スラングだった。

BLOODALCHEMYの展開

CrowdStrikeによると、中東に拠点を置く内務省と、ラテンアメリカに拠点を置く外務省で、VAPOR PANDAはBLOODALCHEMYを展開した。BLOODALCHEMYは、2023年10月に初めて公に報告されたバックドアである。この攻撃者は正規のGameHookバイナリのファイル名をsvchost.exeに変更して悪意のあるDLL、graphics-hook-filter64.dllを読み込ませ、同DLLを使ってBLOODALCHEMYのペイロードファイルgraphics-hook_config.binを復号した。また、3つのファイルすべてのコピーを、外部からアクセス可能な公開ディレクトリに配置した。このインプラントには内部プロジェクトのパス「D:\ProjectX\Merman_New\」が含まれており、CrowdStrikeは、これがおそらくマルウェアの社内開発時の名称を反映していると述べた。BLOODALCHEMYは、コマンド＆コントロール用ドメインのnginxmysql.comおよびsqlserver-sqlite.comを含むVAPOR PANDAのインフラと通信していた。報告書によれば、これらの指標は、これまでに公開されたARTEXの報告には見られない。

評価と推奨される防御策

CrowdStrikeは、このキャンペーンは、業界の情報源がStorm-0940の名称で報告したARTEXの活動とは別のものだと述べた。同社の見解では、これは複数の中国と関係する攻撃者の間で、このフレームワークの人気が急速に高まっていることを示している可能性が高い。2021年以降、VAPOR PANDAは長期的なアクセスを確保するため、主に欧州、北米、オセアニア、英国の政府機関、シンクタンク、エネルギー関連組織、採掘関連組織を標的にしてきた。報告書は、このキャンペーンについて、CrowdStrikeが同攻撃者によるAI駆動型の侵入ツールの使用を確認した初めての事例であり、新たな地域の製薬、半導体、原子力、防衛関連組織や外務省へと標的を大きく拡大したものだと説明した。報告書によると、DeepSeekと複数の追加の商用モデルを専用に構築したハーネスを通じて利用するこの作戦は、単一のサービスに依存せず、複数のモデルプロバイダーを活用した耐障害性の高いツールチェーンを構築しようとする意図的な試みである可能性が高い。

CrowdStrikeは、中国と関係する攻撃者が今後12カ月間に、ARTEXのようなエージェント型フレームワークの採用を高い確度で続け、商用の大規模言語モデルと組み合わせることで、小規模なチームでも多数の標的に対する侵入を同時に拡大できるようにすると評価した。

報告書は、データが流出した疑いがある場合、過去のバックアップやディレクトリのエクスポートに残っているものも含め、署名鍵、事前認証鍵、サービス認証情報をすべてローテーションすることを組織に推奨している。また、SAML署名の検証を必須にし、IMDSv2を要求するとともに、クラウドロールのコマンド実行権限を必要最小限のインスタンスに限定すること、コマンドラインのパラメーターに含まれるartxまたはartexの文字列、artxで始まるクラウドロール、C:\ProgramData\artx5v\ディレクトリなど、ARTEXの痕跡を探すこと、インターネットに公開されているアプライアンス、特に長期間稼働しているLinuxベースのサーバーにパッチを適用すること、さらに、パブリックインターネットから到達できないと考えられているサーバーも含め、環境全体にリアルタイムのエンドポイント検知・対応エージェントを導入することを勧めている。