Қытай хакерлері ЖИ агенттерімен 200 ұйымға шабуыл жасады
Бір ғана бұзу кезінде топтың ЖИ агенттері шамамен 1,4 млрд токен өңдеді, ал оларға қытай тілінде адам нұсқау беріп отырды.
Фото: CrowdStrike
CrowdStrike мәліметінше, Қытаймен байланысты VAPOR PANDA тобы ARTEX атты ЖИ-фреймворкпен әлем бойынша 200-ден астам ұйымға шабуыл жасаған. Нысаналар арасында сыртқы істер министрліктері, АҚШ-тың қорғаныс, жартылай өткізгіш және фармацевтика компаниялары, сондай-ақ байланыс операторлары бар. Компания бұл топтың бұзу үшін ЖИ құралдарын қолданғаны алғаш рет байқалғанын айтады.
VAPOR PANDA кемі 2021 жылдан бері әрекет етеді. Әдетте ол Еуропа, Солтүстік Америка, Океания және Ұлыбританиядағы мемлекеттік органдарды, сараптама орталықтарын, энергетика мен өндіруші компанияларды нысанаға алады. Жаңа науқанды CrowdStrike OverWatch қауіп мониторингі қызметі анықтады.
ARTEX қалай жұмыс істейді
ARTEX — агенттік фреймворк. Яғни шабуыл қадамдарын өздері жоспарлап, орындайтын бірнеше ЖИ-агенттен тұратын жүйе. Басты агент жоспарлаушы және орындаушы агенттерді фактілер, табылған деректер мен мақсаттардың ортақ базасы арқылы үйлестіреді. Осылайша шабуыл алғашқы енуден бастап жүйе ішіндегі барлауға және көрші компьютерлерге өтуге дейін жалғасады.
ARTEX негізінен қытайлық DeepSeek тілдік моделіне сүйенеді. Одан бөлек, хакерлер екінші, ақылы коммерциялық модельді де пайдаланған, алайда CrowdStrike оның қайсысы екенін растай алмады. Бір бұзу кезінде жоспарлаушы агенттер шамамен 1,4 млрд кіріс токенін өңдеген.
Ауқымы мен нысаналары
17 қазаннан бастап ARTEX-тің бір басқару серверы 11 күн ішінде кемі 14 елдегі нысаналарға жұмыс істеді. Тоғыз ұйымда CrowdStrike хакерлердің желі ішіндегі әрекетін растады. Олар BLOODALCHEMY зиянды бағдарламасын орнатқан, құпиясөздерді таңдаған, желіні сканерлеген. Тағы кемі 12 ұйымға, оның ішінде америкалық сараптама орталықтары мен еуропалық мемлекеттік құрылымдарға, құпиясөз таңдау шабуылы жүрген.
Нысаналар тізімінде Латын Америкасы, Еуропа, Азия және Таяу Шығыс елдерінің СІМ-дері, Таяу Шығыстағы бір елдің ІІМ-і, Грекияның мемлекеттік органы, АҚШ, Бельгия мен Филиппиндегі байланыс операторлары бар. Еуропадағы бір елде СІМ, президент әкімшілігі, премьер-министр кеңсесі, қорғаныс, әділет, қаржы министрліктері және барлау шабуылға ұшыраған. АҚШ-та фармацевтика, жартылай өткізгіштер, қорғаныс, атом саласы мен қаржы бағытындағы 19 ұйым нысанаға алынған.
Сахна артындағы адам
Шабуылды толық автономды деуге келмейді. Басқару серверы анда-санда құралдарды, нысаналар туралы файлдарды және агенттердің хат алмасуын ашып қойған. Онда оператордың қытай тіліндегі «адам нұсқауы» белгісі бар және Бейжің уақытымен жазылған тапсырмалары көрінеді. Мәселен, оператор агенттерден доменде CrowdStrike Falcon қорғаныс агенті жоқ Windows компьютерлерін табуды сұраған.
CrowdStrike деректердің жылыстауына күдік туса, қолтаңба кілттері мен қызметтік құпиясөздерді, оның ішінде ескі сақтық көшірмелердегілерді ауыстыруға кеңес береді. Сондай-ақ интернетке ашық серверлерді жаңартып, жүйеден «artx» және «artex» жолдары бар іздерді іздеу керек.
CrowdStrike мәліметінше, бұл науқанның жақында Microsoft жазған Storm-0940 шабуылына қатысы жоқ. Ол кезде хакерлер сол фреймворкпен ConnectWise бұлтын бұзған.
Дереккөздер: CrowdStrike — VAPOR PANDA мен ARTEX науқаны туралы есеп
