Çin bağlantılı Vapor Panda grubu yapay zekâ aracı ARTEX ile 200'den fazla kurumu aynı anda hedef aldı

Güvenlik şirketi CrowdStrike, 29 Ekim’de yayımladığı raporda, Çin bağlantılı casusluk grubu Vapor Panda’nın 17 Ekim’den itibaren ARTEX adlı yapay zekâ destekli saldırı çerçevesini kullanarak dünya genelinde 200’den fazla kuruma saldırdığını açıkladı. CrowdStrike’a göre tek bir ARTEX kontrol sunucusundan yürütülen saldırılar 11 günlük bir sürede en az 14 ülkedeki kurumları hedef aldı. Şirket bu kampanyayı, Çin bağlantılı grupların yapay zekâ ajanlarını tek tek saldırılardan bir insan operatörün yönettiği çok sayıda eşzamanlı saldırıya geçecek biçimde kullanmasında bir tırmanış olarak görüyor.

Hedefler

CrowdStrike’a göre Vapor Panda ARTEX’le Latin Amerika’daki iki ülkenin dışişleri bakanlığında kapsamlı saldırılar düzenledi, üçüncü bir ülkeninkini büyük olasılıkla ele geçirdi ve Orta Amerika ile Asya’daki dışişleri bakanlıklarına yönelik saldırılar için hedef dosyaları hazırladı. Grup bir Orta Doğu ülkesinin içişleri bakanlığını da ele geçirdi. Bir operasyon tek bir Avrupa ülkesine odaklanarak dışişleri bakanlığını, cumhurbaşkanlığını ve başbakanlığı, ayrıca savunma, adalet, maliye ve istihbarat kurumlarını hedef aldı. Ayrı bir operasyon ABD’deki ilaç, yarı iletken, savunma, nükleer ve finans sektörlerinden 19 kuruma yöneldi. Grup ayrıca ABD, Belçika ve Filipinler’deki telekomünikasyon şirketlerini ele geçirdi.

CrowdStrike’a göre grup dokuz kurumda sızma sonrası aşamaya geçti, BLOODALCHEMY adlı arka kapıyı kurdu, parola denemeleri yaptı, ağı taradı ve keşif yaptı. Grup en az 12 kurumda daha, aralarında ABD’deki düşünce kuruluşları ve Avrupa’daki kamu kurumları da olmak üzere, parola denemesi ve kimlik bilgisi taraması yaptı.

ARTEX’in kullanımı

CrowdStrike’a göre Vapor Panda ARTEX’i esas olarak Çin’de geliştirilen DeepSeek dil modeliyle, buna ek olarak kimliğini doğrulayamadığı ücretli bir ticari dil modeliyle çalıştırdı. Tek bir saldırıda grubun planlama ajanları yaklaşık 1,4 milyar girdi tokeni tüketti. ARTEX bir ana ajanı, ona bağlı planlama ve işçi ajanlarıyla birlikte çalıştırıyor ve her saldırıyı ilk erişimden bilgisayar keşfine ve ağ içinde yayılmaya kadar ilerletiyor.

CrowdStrike’ın ele geçirdiği ajan kayıtlarına göre süreçte bir insan operatör de vardı. Operatör, Çin saatiyle zaman damgalı Çince talimatlarla ajanlara web kabukları yazdırdı, alan yöneticisi parolalarını çıkarttırdı ve bilgisayarlarda hangi güvenlik yazılımlarının kurulu olduğunu çıkarttırdı. CrowdStrike’a göre operatör bir ilaç şirketinde ajanlardan, etki alanında CrowdStrike Falcon yazılımı kurulu olmayan Windows bilgisayarlarını bulmalarını istedi. CrowdStrike’ın aktardığı örneklerde ajanlar ABD’deki bir ilaç şirketinde imzasız bir SAML onayını ve bir XXE açığını zincirleyerek bulutun meta veri hizmetini sorguladı ve binlerce sunucuya yönetim komutu gönderebilen bir role ulaştı. Yunanistan’daki bir kamu kurumunda ise operatör ajanlara kurumun e-posta sunucusundan 2022’de alınmış ve büyük olasılıkla o tarihten beri değiştirilmemiş anahtarları verdi, ajanlar bu anahtarlarla sahte bir yönetici belirteci üretip e-posta kutularını okudu.

Önceki ARTEX haberleri

CrowdStrike’a göre bu kampanya, sektörde Storm-0940 adıyla raporlanan ARTEX etkinliğinden ayrı. Şirket bunu, yapay zekâ tabanlı çerçevenin Çin bağlantılı birden fazla grup arasında hızla yaygınlaştığının işareti olarak değerlendiriyor. CrowdStrike’a göre Vapor Panda 2021’den bu yana ağırlıklı olarak Avrupa, Kuzey Amerika, Okyanusya ve İngiltere’deki kamu, düşünce kuruluşu, enerji ve madencilik kurumlarını hedef alıyordu ve bu kampanya grubun yapay zekâ destekli saldırı araçlarını ilk kez kullandığı görülen kampanya. Sitemizde daha önce Storm-0940’ın ARTEX’i ConnectWise saldırısında kullanmasını ve Güney Kore’de ARTEX’le yapılan saldırıları yazmıştık.