Свързан с Китай автор на заплахата е използвал базиран на изкуствен интелект инструмент на име Artex, за да проведе усъвършенствана шпионска кампания срещу множество цели по света, според доклад на CrowdStrike, публикуван в четвъртък.

Авторът на заплахата, проследяван като Vapor Panda, е атакувал над 200 организации в общо 14 държави в кампания, започнала на 17 октомври.

Атакуващият е насочил вниманието си към външни министерства в Латинска Америка, Азия и Европа, както и към министерство на вътрешните работи в Близкия изток. Кампанията е засегнала и 19 различни организации в САЩ, включително във фармацевтичния, отбранителния, полупроводниковия, ядрения и финансовия сектор. Били са компрометирани телекомуникационни фирми в САЩ, Филипините и Белгия.

При около девет организации хакерите са внедрили задна вратичка (backdoor) на име BloodAlchemy. След като получили достъп, те извършвали сканиране на мрежата, разузнаване и атаки с налучкване на пароли (password spraying), за да достигнат до вътрешните системи. Групата е използвала password spraying и събиране на идентификационни данни срещу 12 субекта, включително мозъчни тръстове в САЩ и правителствени институции в Европа.

Изследователите заявяват, че атакуващите са се възползвали от критични уязвимости и неправилни конфигурации в тези системи.

„В една американска организация агент е използвал слабости в SAML автентикацията и обработката на XML, за да получи облачни идентификационни данни с широки административни привилегии“, заяви пред Cybersecurity Dive Адам Майърс, старши вицепрезидент по противодействие на противниковите операции в CrowdStrike. В друга организация агент е получил root достъп през оркестрационна услуга, която не е изисквала автентикация.

Авторът на заплахата е използвал Artex заедно с DeepSeek – големия езиков модел, разработен в Китай. Бил е използван и втори голям езиков модел, но изследователите на CrowdStrike не са успели да установят конкретния модел.

Изследователите са наблюдавали и агенти, които „използват ключове за автентикация, изложени в експорт от пощенски сървър от 2022 г., което показва как идентификационни данни, компрометирани преди години, могат да продължат да осигуряват достъп на противниците“.

Vapor Panda, неотдавна проследяван като Storm-0940, е активен от 2021 г. и е насочен към правителствени агенции, мозъчни тръстове и енергийни обекти в Европа, Северна Америка, Океания и Обединеното кралство, според CrowdStrike.

Агентна вълна

Artex е използван в поредица от нашумели хакерски кампании през последните месеци. Свързан с Китай атакуващ е свързан със злоупотреба с ConnectWise Cloud Backup. Той е използвал Artex, за да мащабира атаки срещу тенанти на Microsoft 365.

Изследователи от Wiz са открили, че Artex е използван в атаки срещу доставчици на идентичност, сред които Okta, Cognito и Microsoft Entra. Наблюденията на Wiz се припокриват с неотдавнашно изследване на Microsoft, което свързва кампанията срещу ConnectWise със свързания с Китай атакуващ, проследяван също като Storm-0940.

Според CrowdStrike Artex е използван и в атаки срещу южнокорейски банки в кампания, започнала в края на септември. Artex е използван и в атаки срещу десетки японски компании през миналия месец.

Според Microsoft Artex е рамка с отворен код за тестване за проникване, която може да се използва с различни модели на изкуствен интелект за автоматизиране на офанзивната сигурност. Инструментът е написан на езика Go, а интерфейсът му е базиран на Next.js.

Холандският институт за разкриване на уязвимости потвърди в петък, че Artex е бил използван при хакерска атака срещу организацията през септември. Атакуващият е свързал в низ уязвимости в Zammad – платформа с отворен код за помощен център (help-desk), проследявани като CVE-2026-102489 и CVE-2026-102490.

Множество автори на заплахи са използвали през последните месеци рамки с отворен код за тестване за проникване, за да автоматизират атаки, според доклад, публикуван в петък от Google Threat Intelligence Group и екипа му за реагиране при инциденти Mandiant.

При множество разследвания на инциденти са установени хакери, използващи платформи за тестване за проникване като Artex, Cairn и PentAGI, за да автоматизират различни задачи, включително латерално движение и експлоатация на бази данни.

За ограничаване на заплахата Google препоръчва на екипите по сигурността да намалят излагането на административни интерфейси в интернет, да заздравят интерфейсите за управление на приложения и да ограничат идентичностите и ключовете.