क्राउडस्ट्राइक के अनुसार चीन-आधारित समूह वेपर पांडा ने 17 अक्टूबर से ARTEX नामक एजेंटिक AI फ्रेमवर्क के जरिए कम से कम 14 देशों के 200 से अधिक संगठनों को निशाना बनाया, जिनमें नौ में घुसपैठ की पुष्टि हुई।
क्राउडस्ट्राइक ने 29 अक्टूबर को बताया कि चीन-आधारित एक हमलावर समूह, जिसे वह वेपर पांडा (पहले VexatiousTemper) के नाम से ट्रैक करती है, ने वैश्विक जासूसी अभियान चलाने के लिए ARTEX नामक AI-संचालित फ्रेमवर्क का इस्तेमाल किया। यह गतिविधि 17 अक्टूबर को शुरू हुई और कंपनी की OverWatch टीम ने एक ही ARTEX कंट्रोलर से 11 दिनों तक शोषण होते देखा। कंपनी के अनुसार कम से कम 14 देशों के 200 से अधिक अलग-अलग संगठनों को निशाना बनाया गया, जिनमें विदेश मंत्रालय, एक राष्ट्रपति कार्यालय और एक गृह मंत्रालय, सेमीकंडक्टर, रक्षा और थिंक-टैंक संगठन, दूरसंचार प्रदाता, तथा दवा, परमाणु और वित्तीय कंपनियां शामिल हैं। अकेले एक अभियान में अमेरिका के 19 संगठन थे।
क्राउडस्ट्राइक का कहना है कि उसने नौ संगठनों में घुसपैठ के बाद की गतिविधि की पुष्टि की, जिसमें पहुंच, BLOODALCHEMY बैकडोर की तैनाती, क्रेडेंशियल स्प्रेइंग, नेटवर्क स्कैनिंग और टोही शामिल थी, जबकि कम से कम 12 और संगठनों पर पासवर्ड-स्प्रेइंग और क्रेडेंशियल-स्कैनिंग के प्रयास हुए। कंपनी ARTEX को ऐसा एजेंटिक फ्रेमवर्क बताती है जिसमें एक मुख्य एजेंट तथ्यों, निष्कर्षों और लक्ष्यों के साझा ग्राफ के जरिए अधीनस्थ योजना और कार्य एजेंटों का समन्वय करता है और घुसपैठ को शुरुआती पहुंच से लेटरल मूवमेंट तक ले जाता है। निर्णय के बिंदुओं पर एक मानव ऑपरेटर चीनी भाषा में निर्देश देकर एजेंटों को दिशा देता रहा। ऑपरेशन मुख्यतः चीनी मूल के DeepSeek मॉडल और एक दूसरे सब्सक्रिप्शन-आधारित व्यावसायिक मॉडल पर निर्भर था, जिसकी पहचान क्राउडस्ट्राइक नहीं कर सकी; एक घुसपैठ में प्लानिंग एजेंटों ने लगभग 1.4 अरब इनपुट टोकन खर्च किए। द हैकर न्यूज़, ज़ेडस्केलर ThreatLabz के शोध का हवाला देते हुए, ARTEX को स्वायत्त टोही और शोषण के लिए कई भाषा-मॉडल बैकएंड का संयोजन करने वाला फ्रेमवर्क बताता है।
बताई गई तकनीकें ज्यादातर पारंपरिक कमजोरियां थीं जिन्हें तेजी से जोड़ा गया: बिना हस्ताक्षर वाले SAML अस्सर्शन और XXE खामियां, शक्तिशाली भूमिकाएं पाने के लिए क्लाउड मेटाडेटा सेवाओं का दुरुपयोग, स्थानीय एडमिन पासवर्ड पढ़ना, और 2022 से बिना बदली प्रमाणीकरण कुंजियों से एडमिन टोकन गढ़ना। क्राउडस्ट्राइक यह भी बताती है कि एजेंटों ने उन होस्ट की तलाश की जिन पर उसका Falcon सेंसर नहीं था और आगे की गतिविधि वहीं केंद्रित की। उसकी सिफारिशों में संदिग्ध एक्सपोजर के बाद साइनिंग कुंजियां और सर्विस क्रेडेंशियल बदलना, SAML हस्ताक्षर सत्यापन लागू करना, IMDSv2 अनिवार्य करना, क्लाउड भूमिकाओं की अनुमतियां सीमित करना, इंटरनेट-फेसिंग उपकरणों को पैच करना और सभी सर्वरों पर एंडपॉइंट डिटेक्शन लगाना शामिल है। ये निष्कर्ष और आरोपण विक्रेता का अपना आकलन है, जो उसके टेलीमेट्री पर आधारित है और जिसका स्वतंत्र ऑडिट नहीं हुआ है; रिपोर्ट यह नहीं बताती कि पुष्टि-शुदा नौ घुसपैठों में से कितनी में डेटा चोरी हुआ।
