VAPOR PANDA
A CrowdStrike kutatása szerint a Kínához köthető VAPOR PANDA kiberkémkedési csoport az ARTEX nevű, mesterséges intelligenciával támogatott támadási keretrendszert használta nagyszabású nemzetközi műveletekhez. Október 17-től kezdődően 11 nap alatt több mint 200 szervezetet célzott meg legalább 14 országban, köztük minisztériumokat, védelmi és gyógyszeripari vállalatokat, félvezetőgyártókat és távközlési szolgáltatókat.
A CrowdStrike OverWatch kilenc szervezetnél igazolt sikeres behatolást követő tevékenységet, köztük a BLOODALCHEMY hátsó ajtó telepítését, hálózati felderítést és hitelesítőadat-támadásokat. További legalább 12 szervezet ellen jelszópróbálgatást és fiókfelderítést észleltek.
A támadók az ARTEX keretrendszert elsősorban a kínai DeepSeek nyelvi modellel és egy másik kereskedelmi modellel működtették. A rendszer tervező és végrehajtó AI-ügynökökkel párhuzamosan keresett támadási útvonalakat. Egyetlen behatolás során mintegy 1,4 milliárd bemeneti tokent dolgoztak fel.
A visszanyert naplók szerint a műveleteket továbbra is ember irányította, kínai nyelvű utasításokkal webshell-ek létrehozását, rendszergazdai jelszavak megszerzését és a végpontvédelmi rendszerek felderítését rendelte el. A támadók kifejezetten keresték azokat a Windows-gépeket, amelyeken nem futott CrowdStrike Falcon érzékelő.
Az egyik amerikai gyógyszeripari vállalatnál SAML-hitelesítési és XXE-hibákat kapcsoltak össze felhőszolgáltatási jogosultságok megszerzéséhez. Egy görög kormányzati szervezetnél pedig korábban kiszivárgott, le nem cserélt hitelesítési kulcsokkal hamisítottak rendszergazdai tokent, majd levelezési és VPN-adatok segítségével jutottak tovább.
A BLOODALCHEMY kártevőt egy legitim program DLL-betöltési folyamatának eltérítésével indították el, többek között közel-keleti és latin-amerikai kormányzati célpontokon.
