MI-ügynökökkel támadtak több mint 200 szervezetet 11 nap alatt

A két kampány között a beszámoló szerint nem látszik kapcsolat, a működésük azonban hasonló. A célt és a feladatot ember jelöli ki, majd egy nagy nyelvi modell dönti el, milyen parancsokat futtasson a megtámadott hálózatba telepített program.

A CrowdStrike egy Kínához köthető, Vapor Panda néven követett kémcsoport tevékenységét vizsgálta. A Kaspersky külön kampányban kínaiul beszélő üzemeltetőkre utaló jeleket talált. Utóbbi esetet nem kötötte ismert csoporthoz.

Az automatizálás nem jelentette az ember teljes eltűnését: a CrowdStrike által visszaszerzett feljegyzésekben az üzemeltető a döntési pontokon kínai nyelvű utasításokkal avatkozott be. Ha egy út nem vezetett eredményre, az ügynökök másikkal próbálkoztak.

A Vapor Panda október 17-én kezdte használni az ARTEX nevű keretrendszert. A következő 11 napban egyetlen vezérlővel legalább 14 ország szervezeteit támadták. A célpontok között latin-amerikai, európai, ázsiai és közel-keleti külügyminisztériumok, amerikai védelmi és félvezetőipari cégek, valamint távközlési szolgáltatók szerepeltek.

A célzott szervezetek közül a CrowdStrike kilencnél erősített meg behatolás utáni tevékenységet: ezeknél a BloodAlchemy nevű hátsó kaput telepítették. További legalább 12 szervezet ellen jelszópróbálgatást is észlelt, köztük amerikai kutatóintézetek és európai kormányzati szervek ellen.

Az ARTEX főként a DeepSeek modelljét használta, egy másik kereskedelmi modell mellett. Egy központi ügynök tervező és végrehajtó ügynököknek osztotta ki a munkát. Egyetlen behatolás során a tervezők nagyjából 1,4 milliárd bemeneti tokent dolgoztak fel.

Egy gyógyszeripari cégnél az ügynök egy aláírás nélküli SAML-állítást és egy XXE-hibát együtt kihasználva érte el a felhős példány metaadat-szolgáltatását. Innen egy vállalati adminisztrátori fiókig jutott.

Egy görög kormányzati szervezetnél az üzemeltető egy 2022-es címtárexportot adott át az ügynöknek. Az abban található hitelesítési kulcsokat a CrowdStrike szerint valószínűleg az export óta nem cserélték le. Az ügynök ezekkel adminisztrátori tokent hamisított és postafiókokat olvasott.

Ezután egy elküldött levélből megszerzett VPN-beállításokat és egy ügyfélkulcsot használt a belső hálózat eléréséhez. A kulcsról az üzemeltető azt állította, hogy egy 2024. májusi e-mail-szivárgásból származik.

A Kaspersky által vizsgált támadók afrikai és latin-amerikai oktatási intézményeket céloztak. A Go nyelven írt, nyílt forráskódú CyberStrikeAI keretrendszert használták, amelyet behatolásvizsgálatra fejlesztettek.

A nyelvi modell a támadók vezérlőszerverén futott: ott tervezte a következő lépéseket és készítette a parancsokat. Az áldozat gépére telepített programban nem volt mesterséges intelligencia, az csak végrehajtotta a kapott utasításokat.

A támadók először kézzel jutottak be egy kompromittált SQL Serveren keresztül. Nagyjából egy nap felderítés és két hét szünet után telepítették az ügynököt. Az két percen belül gondoskodott a tartós jelenlétről és helyi felderítést végzett, majd mintegy öt órán át térképezte fel a tartományt.

Néhány nappal később a hálózaton belüli továbblépés, a hitelesítő adatok több gépről történő begyűjtése és egy adatbázis exportálása kevesebb mint egy órát vett igénybe.

A Kaspersky szerint a megtámadott gépeken látott műveletek ismerősek, az újdonság inkább a végrehajtás gyorsasága és egyszerűsége. A CrowdStrike arra is figyelmeztetett, hogy a támadók keresték azokat a területeket, ahol hiányzott az észlelés.

A cég a SAML-aláírások ellenőrzését, az IMDSv2 használatának kikényszerítését, az internet felől elérhető eszközök javítását és az EDR-védelem kiterjesztését javasolja. Gyanított adatkitettség után a kulcsok és hitelesítő adatok cseréjét, valamint az ARTEX nyomainak keresését is ajánlja.