CrowdStrike-ի խոսքով՝ Vapor Panda հաքերները ներխուժել են 9 կազմակերպության համակարգեր

CrowdStrike-ի խոսքով՝ Vapor Panda-ն կազմակերպությունների համակարգեր մուտք գործելու և հետագա հարձակումներ իրականացնելու համար օգտագործել է ARTEX՝ Go-ով ստեղծված և գերբանականությամբ (ԳԲ) աշխատող անվտանգության փորձարկման գործիք։ Համաշխարհային արշավը սկսվել է 2026 թ․ հոկտեմբերի 17-ին։

CrowdStrike-ն արշավը կապում է Չինաստանում գործող Vapor Panda հաքերային խմբի հետ, որը նախկինում հայտնի էր որպես VexatiousTemper։ Խումբը համընկնումներ ունի Earth Estries-ի հետ՝ սպառնալիքների մի խմբի, որին հետևում է անվտանգության ոլորտում գործող Trend Micro ընկերությունը։

CrowdStrike-ի խոսքով՝ Vapor Panda-ն 2021-ից ձգտել է երկարաժամկետ մուտք ձեռք բերել պետական, վերլուծական, էներգետիկ և հանքարդյունաբերական կազմակերպությունների համակարգեր։ Ընկերությունն այս արշավը ներկայացնում է որպես խմբի կողմից ԳԲ-ով աշխատող ներխուժման գործիքների առաջին դիտարկված կիրառումը՝ նոր ոլորտներ ու տարածաշրջաններ ընդլայնվելու հետ մեկտեղ։

Թիրախները, մուտքն ու ապացույցները

CrowdStrike-ի խոսքով՝ 11 օրվա ընթացքում այն դիտարկել է ARTEX-ի մեկ կառավարման համակարգից առնվազն 14 երկրի կառույցների դեմ խոցելիությունները շահագործելու փորձեր։ Ընկերությունն այդ համակարգը կապել է Vapor Panda-ի ենթակառուցվածքի հետ։ Ապացույցների թվում են բացահայտված գործիքները, թիրախների ֆայլերն ու գործակալների գործողությունների գրառումները, ինչպես նաև Falcon անվտանգության սենսորի տվյալները, որոնք ցույց են տալիս գաղտնի մուտք ապահովող ծրագրի տեղադրումն ու այն կառավարելու համար օգտագործված ենթակառուցվածքը։

Թիրախների թվում էին Լատինական Ամերիկայի, Եվրոպայի, Ասիայի և Մերձավոր Արևելքի արտաքին գործերի նախարարությունները, ինչպես նաև ԱՄՆ-ի դեղագործական, կիսահաղորդչային, պաշտպանական, միջուկային և ֆինանսական ոլորտների կազմակերպություններ։ CrowdStrike-ի խոսքով՝ հարձակվողները ներխուժել են Լատինական Ամերիկայի արտաքին գործերի նախարարությունների, Մերձավոր Արևելքի ներքին գործերի մի նախարարության և ԱՄՆ-ի, Բելգիայի ու Ֆիլիպինների հեռահաղորդակցության ծառայություններ մատուցող ընկերությունների համակարգեր։

Հաստատված հետագա գործողությունների թվում էր BLOODALCHEMY-ի տեղադրումը․ այն գաղտնի հեռավար մուտք ապահովող ծրագիր է։ CrowdStrike-ի խոսքով՝ հարձակվողները նաև հաշիվներում գաղտնաբառեր են փորձարկել, ուսումնասիրել ցանցերը և տեղեկություններ հավաքել այն համակարգերի մասին, որոնց հասանելիություն էին ստացել։

CrowdStrike-ի խոսքով՝ Հունաստանի պետական մի կառույցում գործակալը փոստարկղերը կարդալու համար օգտագործել է նույնականացման բանալիներ՝ վերցված փոստային սերվերի գրացուցակի հին արտահանված պատճենից։ Այնուհետև ներքին ցանց է մուտք գործել՝ օգտագործելով վերականգնված վիրտուալ մասնավոր ցանցի (VPN) կարգավորումներն ու միացման բանալին, որն օպերատորի խոսքով՝ ստացվել էր 2024-ի մայիսին էլեկտրոնային նամակների արտահոսքից։

Ինչպես էին մարդիկ ուղղորդում գործակալներին

ARTEX-ի մշակող Լի Պուհուան, որը հայտնի է նաև որպես Autumn-27, դադարել է հրապարակել գործիքի կոդն այն բանից հետո, երբ հարձակվողները սկսել են օգտագործել այն, գրել է The Hacker News-ը։ CrowdStrike-ի խոսքով՝ Vapor Panda-ն ARTEX-ն օգտագործել է հիմնականում տեքստ մշակող՝ Չինաստանում ստեղծված DeepSeek լեզվային մոդելի հետ, ինչպես նաև բաժանորդագրությամբ հասանելի մեկ այլ առևտրային մոդելի հետ, որի ինքնությունն ընկերությունը չի կարողացել հաստատել։

CrowdStrike-ը նկարագրում է, թե ինչպես է ARTEX-ը ծրագրային գլխավոր գործակալին կապում պլանավորող և կատարող գործակալների՝ առաջադրանքի մասերը կատարելու համար նախատեսված ծրագրերի հետ, որոնք միմյանց հետ կիսվում էին փաստերով, հայտնաբերված տեղեկություններով ու նպատակներով։ Գործակալները համակարգում էին միաժամանակյա ներխուժումները՝ սկզբնական մուտքից անցնելով համակարգիչների ուսումնասիրությանն ու համակարգերի միջև տեղաշարժին։ Երբ որևէ ճանապարհ չէր հաջողվում, նրանք այլ մոտեցումներ էին փորձում։

Որոշումները, այնուամենայնիվ, ուղղորդում էր մարդ օպերատորը։ Վերականգնված գրառումներում կային հրահանգներ՝ ստեղծելու վեբ շելեր՝ սերվերը հեռավար կառավարելու հնարավորություն տվող սկրիպտներ, և ձեռք բերելու կազմակերպության ցանցի ադմինիստրատորի գաղտնաբառերը։ Օպերատորը գործակալներին նաև ուղղորդել է գտնել Falcon չունեցող համակարգիչները, որպեսզի հետագա գործողությունները կենտրոնացվեն այդ պաշտպանությունը չունեցող սարքերի վրա։

CrowdStrike-ի խոսքով՝ մեկ ներխուժման ընթացքում պլանավորող գործակալներն օգտագործել են մոտ 1,4 միլիարդ մուտքային տոկեն՝ մոդելներին տրամադրված տեքստի միավոր։ Ընկերությունն այդ ծավալը համարում է լայնածավալ ավտոմատացման ապացույց և գնահատում է, որ զուգահեռ հարձակման ուղիները, հավանաբար, մեկ օպերատորին թույլ են տվել ավելի շատ թիրախների դեմ ավելի շատ մեթոդներ կիրառել, քան հնարավոր կլիներ ձեռքով աշխատելիս։

Ինչ է խորհուրդ տալիս CrowdStrike-ը

CrowdStrike-ը խորհուրդ է տալիս տվյալների հնարավոր բացահայտումից հետո փոխարինել նույնականացման բանալիներն ու ծառայությունների մուտքի տվյալները, այդ թվում՝ երբ բացահայտված նյութերը հին պահուստային պատճեններից կամ արտահանված գրացուցակներից են։ Ընկերությունը նաև խորհուրդ է տալիս ստուգել նույնականացման ստորագրությունների վավերականությունը, սահմանափակել ամպային համակարգերում հրամաններ կատարելու թույլտվությունները, փնտրել ARTEX-ի հետքեր և թարմացումներով շտկել ինտերնետին հասանելի սարքերի խոցելիությունները։ Հարձակումների հայտնաբերման և արձագանքման գործիքները պետք է ընդգրկեն ցանցի բոլոր սերվերները, այդ թվում՝ հանրային ինտերնետից անհասանելի սերվերները։

CrowdStrike-ի գնահատմամբ՝ Չինաստանի հետ կապ ունեցող հարձակվողները մեծ հավանականությամբ առաջիկա 12 ամիսներին կշարունակեն ներդնել ARTEX-ի նման համակարգեր՝ դրանք կիրառելով առևտրային լեզվային մոդելների հետ։