تقول كراودسترايك إن مجموعة «فيبور باندا» التي مقرها الصين استخدمت منذ 17 أكتوبر إطارًا للذكاء الاصطناعي الوكيلي يسمى ARTEX ضد أكثر من 200 جهة في 14 دولة على الأقل، مع تأكيد اختراقات في تسع جهات.
أعلنت شركة كراودسترايك في 29 أكتوبر أن جهة تهديد مقرها الصين تتتبعها باسم «فيبور باندا»، المعروفة سابقًا باسم VexatiousTemper، استخدمت إطارًا مدعومًا بالذكاء الاصطناعي يُدعى ARTEX لتنفيذ حملة تجسس عالمية. بدأ النشاط في 17 أكتوبر، ورصد فريق OverWatch التابع للشركة عمليات استغلال من وحدة تحكم واحدة لـARTEX على مدى 11 يومًا. وبحسب الشركة، استُهدفت أكثر من 200 جهة مختلفة في 14 دولة على الأقل، من بينها وزارات خارجية ورئاسة ووزارة داخلية، وجهات في مجالات أشباه الموصلات والدفاع ومراكز الأبحاث، ومزودو اتصالات، وشركات أدوية ونووية ومالية. وشمل أحد المسارات وحده 19 جهة مقرها الولايات المتحدة.
تقول كراودسترايك إنها أكدت نشاطًا لاحقًا للاختراق في تسع جهات، شمل الوصول ونشر الباب الخلفي BLOODALCHEMY ورش كلمات المرور والمسح الشبكي والاستطلاع، بينما واجهت 12 جهة أخرى على الأقل محاولات رش كلمات المرور وفحص بيانات الاعتماد. وتصف الشركة ARTEX بأنه إطار وكيلي يقوم فيه وكيل رئيسي بتنسيق وكلاء تخطيط وتنفيذ فرعيين عبر رسم بياني مشترك للحقائق والنتائج والأهداف، وينقل الاختراق من الوصول الأولي إلى الحركة الجانبية. وبقي مشغّل بشري في الحلقة يوجّه الوكلاء عند نقاط القرار بتعليمات مكتوبة بالصينية. واعتمدت العملية أساسًا على نموذج DeepSeek صيني المنشأ إضافة إلى نموذج تجاري ثانٍ بالاشتراك لم تتمكن الشركة من تحديده، واستهلك وكلاء التخطيط في اختراق واحد نحو 1.4 مليار رمز إدخال. وتصف «ذا هاكر نيوز»، نقلًا عن أبحاث Zscaler ThreatLabz، الإطار بالطريقة نفسها: تنسيق عدة نماذج لغوية لتنفيذ الاستطلاع والاستغلال بشكل مستقل.
كانت الأساليب المذكورة في معظمها ثغرات تقليدية رُبطت معًا بسرعة: تأكيدات SAML غير موقعة مع ثغرات XXE، وإساءة استخدام خدمات البيانات الوصفية السحابية للحصول على أدوار قوية، وقراءة كلمات مرور المسؤول المحلي، وتزوير رمز مسؤول باستخدام مفاتيح مصادقة لم تُدوَّر منذ 2022. وتشير كراودسترايك أيضًا إلى أن الوكلاء بحثوا عن أجهزة لا تحمل مستشعر Falcon وركّزوا نشاطهم اللاحق عليها. وتشمل توصياتها تدوير مفاتيح التوقيع وبيانات اعتماد الخدمات بعد أي تعرض مشتبه به، وفرض التحقق من توقيع SAML، واشتراط IMDSv2، وتقييد صلاحيات الأدوار السحابية، وترقيع الأجهزة المواجهة للإنترنت ونشر كشف النقاط الطرفية على كل الخوادم. وهذه النتائج والنسبة إلى الجهة المهاجمة تقييم من الشركة نفسها استنادًا إلى بياناتها ولم تخضع لتدقيق مستقل، ولا يوضح التقرير عدد حالات الاختراق التسع المؤكدة التي انتهت بسرقة بيانات.
