VAPOR PANDA использовала ИИ-агентов для вторжений в 14 странах
С 17 октября 2026 года группировка VAPOR PANDA в течение 11 дней проводила одновременные вторжения и действия по получению учётных данных в организациях как минимум в 14 странах. Среди целей были министерства иностранных дел и другие государственные органы, телекоммуникационные провайдеры, а также организации фармацевтического, полупроводникового, оборонного, ядерного и финансового секторов. Действия после компрометации подтвердили в девяти организациях; ещё как минимум в 12 группировка проводила распыление паролей и сканирование для выявления учётных данных. Это первое зафиксированное использование VAPOR PANDA инструментов вторжения на базе ИИ. Кампания не связана с активностью ARTEX, ассоциированной со Storm-0940.
Координация действий с помощью ARTEX
Группировка использовала агентный фреймворк ARTEX, который координировал основного агента с агентами-планировщиками и агентами-исполнителями. Они обменивались результатами и целями, поддерживая действия на этапах первоначального доступа, разведки и горизонтального перемещения внутри организации.
В основном VAPOR PANDA использовала большую языковую модель DeepSeek, дополняя её неподтверждённой коммерческой моделью. Оператор-человек сохранял участие в ключевых точках принятия решений и направлял агентов. В восстановленных инструкциях оператор поручал им создавать веб-шеллы, получать учётные данные администратора домена, оценивать охват конечных точек датчиками и отдавать приоритет хостам Windows без датчика Falcon.
Действия в сетях организаций
Агенты применяли различные техники в отношении веб-приложений, облачных сервисов, контейнеров, Active Directory, электронной почты и инфраструктуры VPN. В одной фармацевтической организации группировка использовала неподписанное утверждение SAML и уязвимость XML External Entity, чтобы запросить метаданные облачного экземпляра и получить роль с правами администрирования тысяч экземпляров.
В другой организации VAPOR PANDA развернула веб-шеллы и эксплуатировала оркестрационный сервис без аутентификации, получив доступ с правами root в производственной контейнерной среде. Группировка также получила пароли LAPS и злоупотребляла ограниченной делегацией на основе ресурсов.
В греческом государственном органе группировка использовала предоставленные ключи аутентификации для подделки токена администратора и доступа к почтовым ящикам. Восстановленные конфигурация VPN и ключ клиента дали ей доступ во внутреннюю сеть.
VAPOR PANDA развернула бэкдор BLOODALCHEMY в министерстве внутренних дел страны Ближнего Востока и министерстве иностранных дел страны Латинской Америки. Переименованный легитимный исполняемый файл GameHook загрузил вредоносную DLL, которая расшифровала полезную нагрузку.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
