Per 11 dienų DI programišiai nusitaikė į per 200 organizacijų

Daugiau kaip 200 organizacijų pasaulyje tapo DI agentus naudojusios VAPOR PANDA programišių kampanijos taikiniais per vienuolika dienų. Saugumo bendrovė „CrowdStrike“ spalio 29 dieną pranešė patvirtinusi veiklą po įsilaužimo devyniose organizacijose, tačiau ne visuose pasirinktuose taikiniuose.

Pasak tyrėjų, su Kinija siejama grupė naudojo ARTEX sistemą kartu su „DeepSeek“ ir antru komerciniu kalbos modeliu. Įrankiai leido vienam žmogaus valdomam procesui vienu metu vykdyti kelis įsilaužimo bandymus, o operatoriui įsikišti svarbiausiuose sprendimų taškuose.

„CrowdStrike OverWatch“ nuo spalio 17 dienos stebėjo vieną ARTEX valdymo mazgą, nukreiptą prieš subjektus bent keturiolikoje šalių. Tarp taikinių buvo užsienio reikalų ministerijos Europoje, Azijoje, Lotynų Amerikoje ir Artimuosiuose Rytuose, taip pat įvairių sektorių bendrovės.

Pranešime atskirai minimos JAV puslaidininkių, gynybos ir farmacijos organizacijos, tyrimų centrai bei telekomunikacijų paslaugų teikėjai skirtinguose regionuose. Vienoje Europos valstybėje kampanija apėmė užsienio reikalų ministeriją, prezidentūrą, premjero biurą ir kitas valstybines institucijas, nenurodant šalies pavadinimo.

Tyrėjai taip pat aprašė įsilaužimus į telekomunikacijų paslaugų teikėjus JAV, Belgijoje ir Filipinuose, neatskleisdami paveiktų bendrovių pavadinimų. Devyniose organizacijose patvirtinti vėlesni veiksmai apėmė prieigos naudojimą, tinklų žvalgybą, prisijungimo duomenų atakas ir kenkėjiškos programos BLOODALCHEMY diegimą.

Pagal atgautus įrašus ARTEX koordinavo pagrindinį agentą, planavimo agentus ir užduotis atliekančius agentus per bendrą faktų bei tikslų struktūrą. Ši sistema vedė atakas nuo pradinės prieigos iki kompiuterių žvalgybos ir tolesnio judėjimo organizacijų tinkluose, rašo tyrėjai.

Žmogaus vaidmuo kampanijoje neišnyko: išsaugotuose pokalbiuose operatorius kinų kalba teikė nurodymus ir keitė agentų veiklos kryptį, teigia bendrovė. Tarp aptiktų tikslų buvo administratorių slaptažodžių išgavimas ir patikra, kuriuose kompiuteriuose nėra „CrowdStrike Falcon“ apsaugos jutiklio.

Vieno įsilaužimo planavimo agentai apdorojo maždaug 1,4 milijardo įvesties žetonų, kuriuos „CrowdStrike“ pateikia kaip automatizuotos veiklos masto rodiklį. Tyrėjai nepatvirtino antrojo naudoto komercinio modelio tapatybės, todėl priskirti visą kampaniją vienai DI paslaugai būtų netikslu.

Apie tyrimą pranešęs NBC News pabrėžia išaugusį atakų mastą, bet pagrindiniai kampanijos skaičiai remiasi būtent saugumo bendrovės duomenimis. „CrowdStrike“ atskiria šią VAPOR PANDA operaciją nuo kitos viešai aprašytos ARTEX veiklos, siejamos su žymeniu „Storm-0940“.

Pasak „CrowdStrike“, bent dviejose valdžios institucijose buvo įdiegta BLOODALCHEMY, o kitur aptiktos papildomos slaptažodžių tikrinimo ir žvalgybos užduotys. Dar bent dvylikai organizacijų, be patvirtintų įsilaužimo atvejų, vykdyti prisijungimo duomenų bandymai, įskaitant JAV tyrimų centrus ir Europos valdžios subjektus.

Toliau tyrėjams lieka nustatyti neįvardytą komercinį modelį ir išsamesnį kampanijos poveikį organizacijoms, kurių didžioji dalis viešai neatskleista. Dabar paskelbti duomenys patvirtina devynis įsilaužimus su vėlesne veikla, bet neleidžia visų daugiau kaip 200 taikinių laikyti sėkmingai pažeistais.