VAPOR PANDA กลุ่มที่เชื่อมโยงกับจีนเจาะระบบเป้าหมาย 9 แห่งจากกว่า 200 แห่งด้วยเอเจนต์ AI

CrowdStrike ระบุว่า VAPOR PANDA ซึ่งเป็นฝ่ายตรงข้ามที่เชื่อมโยงกับจีน ใช้กรอบการบุกรุก ARTEX ที่ขับเคลื่อนด้วย AI โดยทำงานบนโมเดลภาษาขนาดใหญ่ DeepSeek ที่พัฒนาในจีนเป็นหลัก และโมเดลเชิงพาณิชย์อีกหนึ่งโมเดล เพื่อมุ่งเป้าไปยังองค์กรกว่า 200 แห่งในอย่างน้อย 14 ประเทศ ภายในช่วงเวลา 11 วันซึ่งเริ่มตั้งแต่วันที่ 17 ตุลาคม 2026 หน่วยข่าวกรอง CrowdStrike ยืนยันกิจกรรมหลังการเจาะระบบที่องค์กร 9 แห่งในรายงานที่เผยแพร่เมื่อวันที่ 29 ตุลาคม 2026

CrowdStrike OverWatch ตรวจพบกิจกรรมการโจมตีที่มาจากตัวควบคุม ARTEX เพียงตัวเดียว ซึ่งหน่วยข่าวกรอง CrowdStrike เชื่อมโยงกับโครงสร้างพื้นฐานของ VAPOR PANDA ตัวควบคุมดังกล่าวเปิดเผยเครื่องมือของฝ่ายตรงข้าม ไฟล์เป้าหมาย และบันทึกการทำงานของเอเจนต์เป็นระยะ ซึ่งบ่งชี้ว่ามีการปฏิบัติการหลายชุด หรือที่เรียกว่า task ภายในกรอบการทำงาน โดยดำเนินการกับเป้าหมายหลายแห่ง ในองค์กร 9 แห่งที่ยืนยันกิจกรรมหลังการเจาะระบบ ฝ่ายตรงข้ามเข้าถึงระบบ ติดตั้งแบ็กดอร์ BLOODALCHEMY และดำเนินการโจมตีแบบสุ่มรหัสผ่าน การสแกนเครือข่าย และการลาดตระเวน นอกจากนี้ ฝ่ายตรงข้ามยังดำเนินกิจกรรมสุ่มรหัสผ่านและสแกนข้อมูลรับรองกับองค์กรเพิ่มเติมอีกอย่างน้อย 12 แห่ง ซึ่งรวมถึงคลังความคิดที่ตั้งอยู่ในสหรัฐฯ และหน่วยงานรัฐบาลในยุโรป

การมุ่งเป้าข้ามภูมิภาคและภาคส่วน

CrowdStrike รายงานว่า VAPOR PANDA ดำเนินการบุกรุกขนาดใหญ่ภายในกระทรวงการต่างประเทศของสองประเทศในลาตินอเมริกา มีแนวโน้มว่าเจาะระบบประเทศที่สามได้ด้วย และเตรียมไฟล์เป้าหมายไว้ใช้ในภายหลังกับกระทรวงการต่างประเทศในอเมริกากลางและเอเชีย ฝ่ายตรงข้ามยังเจาะระบบกระทรวงมหาดไทยแห่งหนึ่งในตะวันออกกลางด้วย

CrowdStrike ระบุว่า การปฏิบัติการชุดหนึ่งมุ่งเป้าไปยังประเทศเดียวในยุโรปโดยเฉพาะ ได้แก่ กระทรวงการต่างประเทศ ทำเนียบประธานาธิบดี และสำนักงานนายกรัฐมนตรี รวมถึงหน่วยงานด้านกลาโหม ยุติธรรม การเงิน และข่าวกรอง ส่วนการปฏิบัติการอีกชุดมุ่งเป้าไปยังองค์กร 19 แห่งในสหรัฐฯ ซึ่งอยู่ในภาคเภสัชกรรม เซมิคอนดักเตอร์ กลาโหม นิวเคลียร์ และการเงิน นอกจากนี้ ผู้ให้บริการโทรคมนาคมในสหรัฐฯ เบลเยียม และฟิลิปปินส์ก็ตกเป็นเหยื่อการเจาะระบบเช่นกัน

เบื้องหลังปฏิบัติการ ARTEX

CrowdStrike ระบุว่า VAPOR PANDA ใช้โมเดล DeepSeek เป็นหลักในการทำงานของ ARTEX โดยเสริมด้วยโมเดลภาษาขนาดใหญ่เชิงพาณิชย์แบบสมัครสมาชิกอีกหนึ่งโมเดล ซึ่งหน่วยข่าวกรอง CrowdStrike ไม่สามารถยืนยันได้ ในการบุกรุกครั้งเดียว เอเจนต์วางแผนของฝ่ายตรงข้ามประมวลผลโทเค็นขาเข้าราว 1.4 พันล้านโทเค็น CrowdStrike ระบุว่าตัวเลขนี้สะท้อนขนาดของกิจกรรมอัตโนมัติ และบ่งชี้ว่าปฏิบัติการโดยรวมใช้โทเค็นมากกว่านี้อย่างมาก

CrowdStrike ระบุว่า ARTEX ประกอบด้วยเอเจนต์หลักหนึ่งตัวและเอเจนต์วางแผนกับเอเจนต์ปฏิบัติงานที่อยู่ภายใต้การควบคุม โดยทั้งหมดใช้กราฟข้อมูลร่วมกันซึ่งบันทึกข้อเท็จจริง ผลการค้นพบ และเป้าหมาย แล้วขับเคลื่อนการปฏิบัติการแต่ละชุดตั้งแต่การเข้าถึงระบบครั้งแรก ผ่านการสำรวจเครื่อง ไปจนถึงการเคลื่อนย้ายไปยังระบบอื่น กรอบการทำงานนี้ยังคงให้มนุษย์มีส่วนร่วม บันทึกที่กู้คืนมาได้แสดงให้เห็นว่าผู้ควบคุมสั่งการเป็นภาษาจีน โดยกำกับข้อความด้วยป้ายกำกับที่แปลว่า “คำสั่งจากมนุษย์” และระบุเวลาเป็นเวลามาตรฐานจีน พร้อมสั่งให้เอเจนต์สร้างเว็บเชลล์ ดึงข้อมูลรับรองของผู้ดูแลโดเมน และตรวจสอบความครอบคลุมของเซนเซอร์ปลายทาง

รายงานให้รายละเอียดเกี่ยวกับการทำงานของเอเจนต์ในองค์กรเภสัชกรรมสองแห่งที่ตั้งอยู่ในสหรัฐฯ ที่แห่งแรก เอเจนต์ใช้การยืนยันตัวตน Security Assertion Markup Language (SAML) ที่ไม่มีลายเซ็นร่วมกับช่องโหว่ XML external entity (XXE) เพื่อเข้าถึงบริการ Instance Metadata Service บนคลาวด์ และได้สิทธิ์ที่สามารถสั่งคำสั่งผู้ดูแลระบบไปยังอินสแตนซ์หลายพันรายการ จากนั้นจึงกู้คืนบัญชีผู้ดูแลระบบระดับองค์กรได้ ที่แห่งที่สอง เอเจนต์ติดตั้งเว็บเชลล์ ใช้ประโยชน์จากบริการจัดการงานประสานที่ไม่ต้องยืนยันตัวตนเพื่อให้ได้สิทธิ์รูทภายในสภาพแวดล้อมคอนเทนเนอร์สำหรับใช้งานจริง อ่านรหัสผ่านจาก Local Administrator Password Solution และใช้การมอบหมายสิทธิ์แบบจำกัดตามทรัพยากรในทางที่ผิดเพื่อปลอมตัวเป็นบัญชีที่มีสิทธิ์สูง

รายงานยังกล่าวถึงการปฏิบัติการต่อหน่วยงานรัฐบาลกรีซ ซึ่งผู้ควบคุมมอบไฟล์ส่งออกไดเรกทอรีจากปี 2022 ของเซิร์ฟเวอร์อีเมลขององค์กรให้เอเจนต์ โดยไฟล์ดังกล่าวมีคีย์ยืนยันตัวตนที่น่าจะไม่เคยถูกเปลี่ยนหมุนเวียนนับแต่นั้น เอเจนต์ใช้คีย์เหล่านี้ปลอมโทเค็นผู้ดูแลระบบและอ่านกล่องจดหมาย จากนั้นจึงเข้าสู่เครือข่ายภายในผ่านการตั้งค่า VPN ที่ได้จากอีเมลขาออกของผู้ใช้ และคีย์ไคลเอนต์ VPN ซึ่งผู้ควบคุมระบุว่าได้มาจากข้อมูลอีเมลรั่วไหลในเดือนพฤษภาคม 2024

CrowdStrike ระบุว่า ตลอดการปฏิบัติการเหล่านี้ เอเจนต์ดำเนินการตามแนวทางโจมตีหลายรูปแบบไปพร้อมกัน ครอบคลุมเว็บแอปพลิเคชัน บริการคลาวด์ สภาพแวดล้อมคอนเทนเนอร์ Active Directory ตลอดจนโครงสร้างพื้นฐานอีเมลและ VPN และเปลี่ยนไปใช้แนวทางอื่นเมื่อแนวทางหนึ่งล้มเหลว ก่อนหน้านี้ CrowdStrike เคยพบผู้ก่อภัยคุกคามใช้เอเจนต์ AI เพื่อช่วยในการบุกรุกแต่ละครั้ง ทว่า VAPOR PANDA ดำเนินการหลายชุดพร้อมกัน โดยผู้ควบคุมเข้ามาแทรกแซงเฉพาะเมื่อต้องปรับทิศทางเอเจนต์ ณ จุดตัดสินใจเท่านั้น ผู้ควบคุมยังให้เอเจนต์หลบเลี่ยงระบบป้องกันปลายทางด้วย โดยที่องค์กรเภสัชกรรมระดับโลกแห่งหนึ่ง ผู้ควบคุมสั่งเอเจนต์ว่า “ค้นหาเครื่อง Windows ในโดเมนที่ไม่มี Falcon โดยพิจารณาจากรายการงานและรายการโฟลเดอร์” ซึ่ง CrowdStrike ระบุว่าเป็นสแลงของหน่วยทีมแดงในสาธารณรัฐประชาชนจีนที่ใช้เรียกเซนเซอร์ CrowdStrike Falcon

การติดตั้ง BLOODALCHEMY

CrowdStrike รายงานว่า VAPOR PANDA ติดตั้ง BLOODALCHEMY ซึ่งเป็นแบ็กดอร์ที่มีการบันทึกข้อมูลต่อสาธารณะเป็นครั้งแรกในเดือนตุลาคม 2023 ไว้ที่กระทรวงมหาดไทยแห่งหนึ่งในตะวันออกกลางและกระทรวงการต่างประเทศแห่งหนึ่งในลาตินอเมริกา ฝ่ายผู้โจมตีเปลี่ยนชื่อไบนารี GameHook ที่ถูกต้องเป็น svchost.exe แล้วใช้ไฟล์ดังกล่าวโหลด DLL ที่เป็นอันตรายชื่อ graphics-hook-filter64.dll จากนั้น DLL นี้ก็ถอดรหัสไฟล์เพย์โหลดของ BLOODALCHEMY ชื่อ graphics-hook_config.bin และนำสำเนาของไฟล์ทั้งสามไปวางไว้ในไดเรกทอรีเปิดที่เข้าถึงได้จากภายนอก อิมแพลนต์นี้มีพาธโปรเจกต์ภายใน D:\ProjectX\Merman_New\ ซึ่ง CrowdStrike ระบุว่าน่าจะสะท้อนชื่อที่ใช้พัฒนามัลแวร์ภายในองค์กร BLOODALCHEMY ติดต่อสื่อสารกับโครงสร้างพื้นฐานของ VAPOR PANDA ซึ่งรวมถึงโดเมนสั่งการและควบคุม nginxmysql.com และ sqlserver-sqlite.com โดยรายงานระบุว่าตัวบ่งชี้เหล่านี้ไม่ปรากฏในรายงาน ARTEX ที่เผยแพร่ต่อสาธารณะก่อนหน้านี้

การประเมินและแนวทางป้องกันที่แนะนำ

CrowdStrike ระบุว่าแคมเปญนี้แตกต่างจากกิจกรรม ARTEX ที่แหล่งข่าวในอุตสาหกรรมรายงานภายใต้ชื่อ Storm-0940 ซึ่งในมุมมองของ CrowdStrike น่าจะบ่งชี้ว่าเฟรมเวิร์กนี้กำลังได้รับความนิยมอย่างรวดเร็วในหมู่ฝ่ายโจมตีหลายกลุ่มที่เชื่อมโยงกับจีน ตั้งแต่ปี 2021 เป็นต้นมา VAPOR PANDA มุ่งโจมตีองค์กรภาครัฐ สถาบันคลังสมอง องค์กรด้านพลังงาน และองค์กรในอุตสาหกรรมสกัดทรัพยากรเป็นส่วนใหญ่ ในยุโรป อเมริกาเหนือ โอเชียเนีย และสหราชอาณาจักร เพื่อสร้างช่องทางเข้าถึงระบบในระยะยาว รายงานระบุว่าแคมเปญนี้เป็นครั้งแรกที่ CrowdStrike พบว่าฝ่ายโจมตีใช้เครื่องมือบุกรุกที่ขับเคลื่อนด้วย AI และเป็นการขยายขอบเขตการกำหนดเป้าหมายครั้งสำคัญไปยังองค์กรด้านเภสัชกรรม เซมิคอนดักเตอร์ นิวเคลียร์ และกลาโหม ตลอดจนกระทรวงการต่างประเทศในภูมิภาคใหม่ ๆ รายงานระบุว่า การปฏิบัติการนี้พึ่งพา DeepSeek และโมเดลเชิงพาณิชย์อื่น ๆ ที่ทำงานผ่านชุดเครื่องมือซึ่งพัฒนาขึ้นโดยเฉพาะ น่าจะสะท้อนถึงความตั้งใจที่จะสร้างชุดเครื่องมือที่ทนทานและใช้งานได้กับผู้ให้บริการโมเดลหลายราย แทนที่จะพึ่งพาบริการเพียงรายเดียว

CrowdStrike ประเมินว่ามีความเป็นไปได้สูงมากที่ฝ่ายโจมตีซึ่งเชื่อมโยงกับจีนจะยังคงนำเฟรมเวิร์กแบบเอเจนต์ เช่น ARTEX มาใช้ในช่วง 12 เดือนข้างหน้า โดยผสานเข้ากับ LLM ที่มีจำหน่ายในเชิงพาณิชย์ และช่วยให้ทีมขนาดเล็กขยายการบุกรุกไปยังเป้าหมายจำนวนมากได้พร้อมกัน

รายงานแนะนำให้องค์กรเปลี่ยนคีย์ลงนาม คีย์ยืนยันตัวตนล่วงหน้า และข้อมูลรับรองของบริการ หลังสงสัยว่ามีการเปิดเผยข้อมูลทุกกรณี ซึ่งรวมถึงคีย์ที่อยู่ในข้อมูลสำรองเก่าและไฟล์ส่งออกจากไดเรกทอรี บังคับใช้การตรวจสอบลายเซ็น SAML กำหนดให้ใช้ IMDSv2 และจำกัดสิทธิ์การสั่งรันคำสั่งของบทบาทบนคลาวด์ให้เหลือเฉพาะอินสแตนซ์ที่จำเป็นขั้นต่ำ ตรวจค้นหาตัวบ่งชี้ของ ARTEX เช่น สตริง artx หรือ artex ในพารามิเตอร์บรรทัดคำสั่ง บทบาทบนคลาวด์ที่ขึ้นต้นด้วย artx และไดเรกทอรี C:\ProgramData\artx5v\ แก้ไขช่องโหว่ในอุปกรณ์ที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ต โดยเฉพาะเซิร์ฟเวอร์ที่ใช้ Linux ซึ่งใช้งานมานาน และติดตั้งเอเจนต์ตรวจจับและตอบสนองต่อภัยคุกคามที่ปลายทางแบบเรียลไทม์ให้ครอบคลุมทั้งสภาพแวดล้อม รวมถึงเซิร์ฟเวอร์ที่เชื่อว่าบุคคลทั่วไปเข้าถึงผ่านอินเทอร์เน็ตไม่ได้