Çin bağlantılı VAPOR PANDA, yapay zekâ ajanlarıyla 200’den fazla hedeften dokuzunu ihlal etti

CrowdStrike, Çin bağlantılı VAPOR PANDA adlı tehdit aktörünün, başlıca Çin’de geliştirilen DeepSeek büyük dil modeli ve ikinci bir ticari modelle çalışan, yapay zekâ destekli ARTEX sızma çerçevesini kullanarak 17 Ekim 2026’da başlayan 11 günlük bir dönemde en az 14 ülkede 200’den fazla kuruluşu hedef aldığını bildirdi. CrowdStrike Intelligence, dokuz kuruluşta istismar sonrası faaliyetleri 29 Ekim 2026’da yayımlanan bir raporda doğruladı.

CrowdStrike OverWatch, istismar faaliyetlerinin CrowdStrike Intelligence’ın VAPOR PANDA altyapısıyla ilişkilendirdiği tek bir ARTEX denetleyicisinden geldiğini gözlemledi. Denetleyici, tehdit aktörünün araçlarını, hedef dosyalarını ve ajan dökümlerini belirli aralıklarla açığa çıkararak çerçevede “görev” olarak adlandırılan birden fazla operasyonun birden çok hedefe karşı yürütüldüğüne işaret etti. İstismar sonrası faaliyetlerin doğrulandığı dokuz kuruluşta tehdit aktörü erişim sağladı, BLOODALCHEMY arka kapısını yerleştirdi ve kimlik bilgilerini püskürtme, ağ taraması ve keşif faaliyetlerine geçti. Tehdit aktörü ayrıca ABD merkezli düşünce kuruluşları ve Avrupa’daki devlet kurumlarının da aralarında bulunduğu en az 12 kuruluşu daha hedef alan parola püskürtme ve kimlik bilgisi tarama faaliyetleri yürüttü.

Bölgeler ve Sektörler Genelinde Hedefleme

CrowdStrike, VAPOR PANDA’nın Latin Amerika merkezli iki ülkenin dışişleri bakanlıklarına kapsamlı sızma girişimlerinde bulunduğunu, muhtemelen üçüncü bir ülkenin sistemlerini de ihlal ettiğini ve Orta Amerika ile Asya’daki dışişleri bakanlıklarına karşı daha sonra kullanmak üzere hedef dosyaları hazırladığını bildirdi. Tehdit aktörü ayrıca Orta Doğu merkezli bir içişleri bakanlığını da ele geçirdi.

CrowdStrike, operasyonlardan birinin tek bir Avrupa ülkesine odaklandığını bildirdi: ülkenin dışişleri bakanlığı, cumhurbaşkanlığı ve başbakanlık ofisinin yanı sıra savunma, adalet, maliye ve istihbarat kurumları hedef alındı. Bir başka operasyonda ilaç, yarı iletken, savunma, nükleer ve finans sektörlerinde faaliyet gösteren ABD merkezli 19 kuruluş hedef alındı. ABD, Belçika ve Filipinler’deki telekomünikasyon sağlayıcıları da ihlal edildi.

ARTEX Operasyonunun Ayrıntıları

CrowdStrike, VAPOR PANDA’nın ARTEX’i ağırlıklı olarak DeepSeek modeliyle çalıştırdığını, buna ek olarak CrowdStrike Intelligence’ın varlığını doğrulayamadığı abonelik tabanlı ikinci bir ticari büyük dil modelinden yararlandığını bildirdi. Tek bir sızma sırasında tehdit aktörünün planlama ajanları yaklaşık 1,4 milyar girdi belirteci kullandı. CrowdStrike, bu sayının otomatik faaliyetlerin ölçeğine işaret ettiğini ve operasyonun genelinde çok daha fazla belirteç kullanıldığını gösterdiğini belirtti.

CrowdStrike’a göre ARTEX, olguların, bulguların ve hedeflerin yer aldığı ortak bir grafiği kullanan ana ajanı, ona bağlı planlayıcı ve işçi ajanlarla bir araya getiriyor; böylece her operasyonu ilk erişimden ana sistem keşfine ve yatay harekete kadar ilerletiyor. Çerçevede insan denetimi sürdürülüyordu. Ele geçirilen dökümlerde, Çin Standart Saati’ne göre zaman damgası taşıyan ve “insan talimatı” olarak çevrilen bir etiketle işaretlenmiş Çince talimatlar veren bir operatör görülüyordu. Operatör, ajanlara web kabukları oluşturmalarını, etki alanı yöneticisi kimlik bilgilerini çıkarmalarını ve uç nokta sensörlerinin kapsama alanını kontrol etmelerini söylüyordu.

Raporda, ajanın ABD merkezli iki ilaç kuruluşundaki çalışmaları ayrıntılı olarak anlatıldı. İlk kuruluşta ajan, bulut Instance Metadata Service’e erişmek için imzasız bir Security Assertion Markup Language (SAML) beyanını XML harici varlık (XXE) açığıyla birleştirdi. Böylece binlerce örneğe yönetim komutları gönderebilen bir rol elde etti ve buradan bir kurumsal yönetici hesabını ele geçirdi. İkinci kuruluşta ajan web kabukları yerleştirdi, kimlik doğrulaması gerektirmeyen bir düzenleme hizmetindeki açıktan yararlanarak üretim kapsayıcı ortamında kök erişimi sağladı, Yerel Yönetici Parola Çözümü parolalarını okudu ve ayrıcalıklı bir hesabın kimliğine bürünmek için kaynak tabanlı kısıtlı yetkilendirmeyi kötüye kullandı.

Raporda ayrıca, operatörün Yunanistan’daki bir devlet kurumuna yönelik operasyonda ajana kurumun posta sunucusundan alınmış 2022 tarihli bir dizin dışa aktarımını verdiği anlatılıyor. Bu dışa aktarımda, o tarihten bu yana muhtemelen hiç yenilenmemiş kimlik doğrulama anahtarları bulunuyordu. Ajan, yönetici belirtecini sahte olarak oluşturup posta kutularını okumak için bu anahtarları kullandı. Ardından, kullanıcının gönderilmiş e-postalarından alınan VPN yapılandırmaları ve operatörün Mayıs 2024’teki bir e-posta sızıntısından geldiğini söylediği VPN istemcisi anahtarı aracılığıyla iç ağa girdi.

CrowdStrike, bu operasyonlar boyunca ajanların web uygulamalarını, bulut hizmetlerini, kapsayıcı ortamlarını, Active Directory’yi, e-posta ve VPN altyapısını kapsayan birden fazla saldırı yolunu paralel olarak izlediğini ve bir yol başarısız olduğunda alternatif yaklaşımlara geçtiğini bildirdi. CrowdStrike daha önce tehdit aktörlerinin tekil sızma girişimlerine yardımcı olması için yapay zekâ ajanları kullandığını gözlemlemişti; VAPOR PANDA ise aynı anda birden fazla operasyon yürüttü ve yalnızca karar noktalarında ajanların yönünü değiştirmek için devreye girdi. Operatör ayrıca ajanlara uç nokta savunmalarını atlatma talimatı verdi: Küresel bir ilaç kuruluşunda operatör, ajanlara “tasklist ve klasör listelemelerine bakarak etki alanında Falcon olmayan Windows makinelerini bulmalarını” söyledi. CrowdStrike’ın belirttiğine göre bu ifade, Çin Halk Cumhuriyeti’nin sızma testi ekiplerinin CrowdStrike Falcon sensörü için kullandığı argo bir terimdi.

BLOODALCHEMY’nin Yerleştirilmesi

CrowdStrike, VAPOR PANDA’nın Orta Doğu’da bulunan bir içişleri bakanlığında ve Latin Amerika’da bulunan bir dışişleri bakanlığında, ilk kez Ekim 2023’te kamuoyuna duyurulan BLOODALCHEMY arka kapısını kullandığını bildirdi. Saldırgan, meşru bir GameHook ikili dosyasının adını svchost.exe olarak değiştirdi ve bunu, kötü amaçlı graphics-hook-filter64.dll DLL dosyasını yüklemek için kullandı. Bu DLL de BLOODALCHEMY yük dosyası graphics-hook_config.bin’in şifresini çözdü. Saldırgan ayrıca bu üç dosyanın da kopyalarını erişime açık dizinlere yerleştirdi. Zararlı yazılımın içinde, CrowdStrike’ın muhtemelen zararlı yazılımın şirket içi geliştirme adını yansıttığını belirttiği D:\ProjectX\Merman_New\ dahili proje yolu bulunuyor. BLOODALCHEMY, nginxmysql.com ve sqlserver-sqlite.com komuta-kontrol alan adlarının da aralarında bulunduğu VAPOR PANDA altyapısıyla iletişim kurdu. Rapora göre bu göstergeler, daha önceki kamuya açık ARTEX raporlarında yer almıyor.

Değerlendirme ve Önerilen Savunma Önlemleri

CrowdStrike, bu kampanyanın sektör kaynaklarının Storm-0940 adıyla bildirdiği ARTEX faaliyetinden farklı olduğunu belirtti. CrowdStrike’a göre bu durum, çerçevenin Çin bağlantılı birden fazla hasım tarafından hızla benimseniyor olabileceğine işaret ediyor. VAPOR PANDA, 2021’den bu yana uzun vadeli erişim sağlamak amacıyla çoğunlukla Avrupa, Kuzey Amerika, Okyanusya ve Birleşik Krallık’taki kamu kurumlarını, düşünce kuruluşlarını, enerji şirketlerini ve maden çıkarma sektöründeki kuruluşları hedef aldı. Raporda bu kampanya, CrowdStrike’ın söz konusu hasmın yapay zekâ destekli sızma araçlarını kullandığını ilk kez gördüğü olay olarak nitelendirildi; ayrıca hedef kitlesinin yeni bölgelerdeki ilaç, yarı iletken, nükleer ve savunma kuruluşları ile dışişleri bakanlıklarını kapsayacak şekilde önemli ölçüde genişlediği belirtildi. Rapora göre operasyonun DeepSeek’e ve özel olarak tasarlanmış bir düzenek üzerinden çalıştırılan diğer ticari modellere dayanması, tek bir hizmete bel bağlamak yerine çeşitli model sağlayıcılarını kapsayan dayanıklı bir araç zinciri kurmaya yönelik bilinçli bir girişimi yansıtıyor olabilir.

CrowdStrike, Çin bağlantılı hasımların önümüzdeki 12 ay içinde ARTEX gibi ajan tabanlı çerçeveleri büyük olasılıkla kullanmaya devam edeceğini; bunları ticari olarak erişilebilen LLM’lerle eşleştirerek küçük ekiplerin aynı anda çok sayıda hedefe yönelik sızma faaliyetlerini ölçeklendirmesini sağlayacağını değerlendirdi.

Raporda, kuruluşlara şüpheli herhangi bir veri ifşasının ardından imzalama anahtarlarını, ön kimlik doğrulama anahtarlarını ve hizmet kimlik bilgilerini yenilemeleri; geçmiş yedeklerde ve dizin dışa aktarımlarında bulunan anahtarları da bu kapsama almaları öneriliyor. Ayrıca SAML imza doğrulamasının zorunlu kılınması, IMDSv2 kullanımının şart koşulması ve bulut rollerinin komut yürütme izinlerinin yalnızca gerekli en az sayıdaki örnekle sınırlandırılması tavsiye ediliyor. Kuruluşların; komut satırı parametrelerinde artx veya artex dizeleri, artx önekli bulut rolleri ve C:\ProgramData\artx5v\ dizini gibi ARTEX izlerini araştırmaları; özellikle uzun süredir kullanılan Linux tabanlı sunucular başta olmak üzere internete açık cihazları yamalamaları ve halka açık internetten erişilemez olduğu düşünülen sunucular da dâhil olmak üzere ortam genelinde gerçek zamanlı uç nokta algılama ve müdahale ajanı dağıtmaları da öneriliyor.