Связанная с Китаем VAPOR PANDA взломала девять из более чем 200 целей с помощью ИИ-агентов

По данным CrowdStrike, связанная с Китаем группировка VAPOR PANDA использовала фреймворк для вторжений ARTEX на базе ИИ. Он работал преимущественно на разработанной в Китае большой языковой модели DeepSeek и второй коммерческой модели. За 11 дней, начиная с 17 октября 2026 года, группировка нацелилась более чем на 200 организаций как минимум в 14 странах. CrowdStrike Intelligence подтвердила активность после проникновения в системы девяти организаций в отчёте, опубликованном 29 октября 2026 года.

CrowdStrike OverWatch наблюдала за эксплуатацией уязвимостей, которую проводили через единственный контроллер ARTEX; CrowdStrike Intelligence связала его с инфраструктурой VAPOR PANDA. Контроллер периодически раскрывал инструменты группировки, файлы целей и расшифровки взаимодействия агентов, что указывало на несколько операций — в терминологии фреймворка они назывались задачами, — одновременно проводившихся против множества целей. В девяти организациях, где была подтверждена активность после проникновения, группировка получила доступ, установила бэкдор BLOODALCHEMY и перешла к распылению паролей и учётных данных, сканированию сетей и разведке. Кроме того, группировка проводила распыление паролей и сканирование учётных данных ещё как минимум против 12 организаций, в том числе аналитических центров в США и государственных структур в Европе.

Цели в разных регионах и секторах

CrowdStrike сообщила, что VAPOR PANDA проводила масштабные вторжения в министерства иностранных дел двух стран Латинской Америки, вероятно взломала третью страну и подготовила файлы целей для последующих атак на министерства иностранных дел в Центральной Америке и Азии. Группировка также взломала министерство внутренних дел одной из стран Ближнего Востока.

По данным CrowdStrike, в ходе одной операции группировка сосредоточилась на одной европейской стране: её министерстве иностранных дел, президентской администрации и офисе премьер-министра, а также ведомствах обороны, юстиции, финансов и разведки. В ходе другой операции атаке подверглись 19 базирующихся в США организаций из фармацевтического, полупроводникового, оборонного, ядерного и финансового секторов. Были также взломаны телекоммуникационные провайдеры в США, Бельгии и на Филиппинах.

Как проходила операция ARTEX

По данным CrowdStrike, VAPOR PANDA использовала ARTEX преимущественно с моделью DeepSeek, дополнив её второй коммерческой большой языковой моделью, доступной по подписке. CrowdStrike Intelligence не смогла подтвердить, какая именно это была модель. В ходе одного вторжения агенты-планировщики группировки обработали около 1,4 миллиарда входных токенов. По оценке CrowdStrike, это свидетельствует о масштабах автоматизированной активности и позволяет предположить, что в целом за время операции было обработано гораздо больше токенов.

По данным CrowdStrike, ARTEX объединяет главного агента с подчинёнными ему агентами-планировщиками и агентами-исполнителями. Они используют общий граф фактов, находок и целей, проводя каждую операцию от первоначального проникновения через разведку на узлах до горизонтального перемещения по сети. При этом фреймворк оставлял человека в контуре управления. В обнаруженных расшифровках оператор отдавал указания на китайском языке, снабжённые пометкой, переводящейся как «инструкция человека», и отметкой времени по китайскому стандартному времени. Он поручал агентам создавать веб-шеллы, извлекать учётные данные администраторов домена и проверять охват конечных точек датчиками безопасности.

В отчёте подробно описана работа агента в двух фармацевтических организациях, базирующихся в США. В первой организации агент объединил неподписанное утверждение Security Assertion Markup Language (SAML) с уязвимостью типа XML external entity (XXE), чтобы получить доступ к облачной службе метаданных экземпляров. Это позволило ему получить роль, дающую возможность отправлять команды администрирования тысячам экземпляров, а затем добыть учётную запись корпоративного администратора. Во второй организации агент разместил веб-шеллы, воспользовался не требующей аутентификации службой оркестрации, чтобы получить права суперпользователя в производственной среде контейнеров, прочитал пароли Local Administrator Password Solution и злоупотребил делегированием с ограничением на основе ресурсов, чтобы выдать себя за привилегированную учётную запись.

В отчёте также описана операция против одной из государственных структур Греции. Оператор передал агенту экспорт каталога за 2022 год с почтового сервера организации, в котором содержались ключи аутентификации, вероятно, с тех пор ни разу не менявшиеся. Агент использовал эти ключи, чтобы подделать токен администратора и прочитать почтовые ящики, а затем проник во внутреннюю сеть, воспользовавшись конфигурациями VPN из отправленного пользователем письма и ключом VPN-клиента, который, по словам оператора, был получен в результате утечки электронной почты в мае 2024 года.

По данным CrowdStrike, в ходе этих операций агенты параллельно использовали несколько путей атаки, охватывавших веб-приложения, облачные службы, контейнерные среды, Active Directory, а также почтовую и VPN-инфраструктуру. Если один путь оказывался неудачным, они переходили к альтернативным вариантам. Ранее CrowdStrike наблюдала, как злоумышленники применяли ИИ-агентов для содействия отдельным вторжениям; VAPOR PANDA же одновременно проводила несколько операций, вмешиваясь лишь для того, чтобы перенаправить агентов в ключевые моменты принятия решений. Оператор также поручал агентам обходить защиту конечных точек. В одной международной фармацевтической организации он велел им: «найти в домене компьютеры с Windows без Falcon, судя по tasklist и спискам папок». По данным CrowdStrike, это выражение — жаргон китайских специалистов по тестированию на проникновение, обозначающий датчик CrowdStrike Falcon.

Развёртывание BLOODALCHEMY

CrowdStrike сообщила, что в министерстве внутренних дел одной из стран Ближнего Востока и министерстве иностранных дел одной из стран Латинской Америки VAPOR PANDA развернула BLOODALCHEMY — бэкдор, впервые публично описанный в октябре 2023 года. Противник переименовал легитимный бинарный файл GameHook в svchost.exe и использовал его для загрузки вредоносной DLL-библиотеки graphics-hook-filter64.dll. Та, в свою очередь, расшифровывала файл с полезной нагрузкой BLOODALCHEMY graphics-hook_config.bin. Копии всех трёх файлов злоумышленники разместили в открытых каталогах, доступных извне. В импланте указан внутренний путь к проекту D:\ProjectX\Merman_New\; по оценке CrowdStrike, вероятно, он отражает внутреннее название разработки вредоносного ПО. BLOODALCHEMY связывалась с инфраструктурой VAPOR PANDA, в том числе с доменами управления и контроля nginxmysql.com и sqlserver-sqlite.com. Как отмечается в отчёте, эти индикаторы не встречались в предыдущих общедоступных материалах об ARTEX.

Оценка и рекомендуемые меры защиты

CrowdStrike заявила, что эта кампания отличается от активности ARTEX, о которой отраслевые источники сообщали под обозначением Storm-0940. По мнению компании, это, вероятно, указывает на то, что фреймворк быстро набирает популярность среди нескольких противников, связанных с Китаем. С 2021 года VAPOR PANDA преимущественно нацеливалась на государственные организации, аналитические центры, энергетические и добывающие компании в Европе, Северной Америке, Океании и Великобритании, стремясь получить долгосрочный доступ к их системам. В отчёте эта кампания названа первым случаем, когда CrowdStrike наблюдала применение противником инструментов для вторжений на основе ИИ. Также отмечается значительное расширение географии и сфер атак: теперь среди целей — фармацевтические, полупроводниковые, ядерные и оборонные организации, а также министерства иностранных дел в новых регионах. По оценке отчёта, использование DeepSeek и других коммерческих моделей через специально созданную управляющую платформу, вероятно, отражает намеренное стремление сформировать устойчивую цепочку инструментов на базе нескольких поставщиков моделей, а не полагаться на один сервис.

CrowdStrike полагает, что в ближайшие 12 месяцев противники, связанные с Китаем, с высокой вероятностью продолжат внедрять агентные фреймворки, такие как ARTEX, объединяя их с коммерчески доступными большими языковыми моделями. Это позволит небольшим командам масштабировать вторжения и одновременно атаковать множество целей.

В отчёте организациям рекомендуется менять ключи подписи, ключи предварительной аутентификации и учётные данные служб после любого предполагаемого раскрытия данных, в том числе ключи, хранящиеся в старых резервных копиях и экспортах каталогов; обеспечивать проверку подписей SAML, требовать использования IMDSv2 и ограничивать права облачных ролей на выполнение команд только минимально необходимыми экземплярами; искать признаки ARTEX, например строки artx или artex в параметрах командной строки, облачные роли с префиксом artx и каталог C:\ProgramData\artx5v\; устанавливать обновления на подключённые к интернету устройства, особенно на давно работающие серверы под управлением Linux; а также развернуть во всей среде агент обнаружения угроз и реагирования на конечных устройствах, работающий в реальном времени, включая серверы, которые считаются недоступными из общедоступного интернета.