CrowdStrike: Çin bağlantılı hackerlar, DeepSeek ile çalışan bir ajan sistemiyle 11 günde 200’den fazla kurumu hedef aldı

Kampanyanın ölçeği

Siber güvenlik şirketi CrowdStrike’ın Counter Adversary Operations ekibi 29 Ekim’de, Çin bağlantılı VAPOR PANDA grubunun yapay zekâ ajanlarıyla yürüttüğü küresel bir casusluk kampanyasını açıkladı. CrowdStrike’a göre grup 2021’den bu yana ağırlıklı olarak Avrupa, Kuzey Amerika, Okyanusya ve Birleşik Krallık’taki hükümet kurumlarını, düşünce kuruluşlarını, enerji ve maden şirketlerini hedef alıyor ve uzun süreli erişim elde etmeye çalışıyor. Bu kampanya, grubun yapay zekâ destekli sızma araçları kullandığının ilk kez gözlendiği operasyon. Kampanyayla grup hedeflerini ilaç, yarı iletken, nükleer ve savunma sektörlerine ve yeni bölgelerdeki dışişleri bakanlıklarına genişletti.

Etkinlik 17 Ekim’de başladı. Tek bir ARTEX denetleyicisi 11 günlük bir süre içinde en az 14 ülkedeki kurumları hedef aldı; grup ARTEX’i toplamda dünya genelinde 200’den fazla farklı kuruma karşı kullandı. Bu kurumların hepsine sızılmadı. CrowdStrike dokuz kurumda sızma sonrası etkinliği doğruladı; buralarda BLOODALCHEMY adlı zararlı yazılım yerleştirildi, parola denemeleri, ağ taraması ve keşif yapıldı. En az 12 kurum daha parola püskürtme (password spraying) ve kimlik bilgisi taramasıyla karşılaştı; bunlar arasında ABD’deki düşünce kuruluşları ve Avrupa’daki hükümet kurumları var.

ARTEX nasıl çalışıyor

CrowdStrike’a göre ARTEX’te bir ana ajan, olgulardan, bulgulardan ve hedeflerden oluşan ortak bir grafik üzerinden planlayıcı ve uygulayıcı alt ajanları yönetiyor. Grup ARTEX’i ağırlıklı olarak Çin menşeli DeepSeek modeliyle çalıştırdı. Buna CrowdStrike’ın kimliğini doğrulayamadığı, abonelikle kullanılan ikinci bir ticari model eşlik etti. Tek bir sızmada planlayıcı ajanlar yaklaşık 1,4 milyar giriş token’ı kullandı.

Süreçte bir insan operatör de vardı. Ele geçirilen kayıtlarda operatörün “insan talimatı” diye etiketlenmiş Çince komutları, Çin Standart Saati’yle zaman damgalı olarak görülüyor. Operatör ajanlardan web kabuğu yazmalarını, etki alanı yöneticisi parolalarını çıkarmalarını ve uç nokta sensörlerinin kapsamını listelemelerini istedi. Küresel bir ilaç şirketinde ajanlara, etki alanında CrowdStrike’ın güvenlik yazılımı Falcon’un yüklü olmadığı Windows makinelerini bulma talimatı verildi. CrowdStrike, ARTEX’i ve benzer çerçeveleri daha önce mali amaçlı ve kimliği belirlenemeyen saldırganların kullanımında belgelediğini, Microsoft’un da ayrı bir ARTEX etkinliğini Storm-0940 adıyla raporladığını hatırlatıyor.

Saldırı adımları

Rapora göre ajanlar saldırı zincirinin neredeyse her aşamasında görev aldı. Bir ABD ilaç kuruluşunda ajan, imzasız bir SAML onayını bir XXE açığıyla birleştirerek bulut sunucularının metadata hizmetini sorguladı. Buradan binlerce sunucuya komut gönderebilen bir bulut rolü elde edip LAPS parolalarını okudu. Ajanlar web kabukları yerleştirdi ve kaynak tabanlı kısıtlı yetki devrini (RBCD) kullanarak ayrıcalıklı bir hesabın kimliğine büründü.

Yunanistan’daki bir hükümet kurumunda operatör, ajana anahtarları büyük olasılıkla hiç değiştirilmemiş 2022 tarihli bir dizin dökümü verdi. Ajan bununla sahte bir yönetici token’ı üretti, e-posta kutularını okudu ve Mayıs 2024’teki bir e-posta sızıntısından elde edilen VPN yapılandırmalarıyla bir VPN istemci anahtarını kullanarak iç ağa ulaştı. BLOODALCHEMY ise svchost.exe adı verilmiş bir GameHook dosyasının zararlı bir DLL yüklemesiyle çalıştırıldı ve VAPOR PANDA’nın komuta sunucularıyla iletişim kurdu.

Etkilenen kurumlar ve değerlendirme

Sızılan kurumlar arasında iki Latin Amerika ülkesinin dışişleri bakanlığı, bir Orta Doğu ülkesinin içişleri bakanlığı ve ABD, Belçika ile Filipinler’deki telekomünikasyon şirketleri var. CrowdStrike ayrıca bir ABD ilaç kuruluşunda kurumsal yönetici hesabının, ikinci bir ABD ilaç kuruluşunda bir üretim konteynerinde root yetkisinin ve Yunanistan’daki bir hükümet kurumunda iç ağ erişiminin ele geçirildiğini bildirdi. Hedefler arasında bir Avrupa ülkesinin dışişleri bakanlığı, cumhurbaşkanlığı ve başbakanlık ofisi ile ilaç, yarı iletken, savunma, nükleer ve finans alanlarındaki ABD kuruluşları da bulunuyor. Bu kampanyada adı verilen ülkeler yalnızca ABD, Belçika, Filipinler ve Yunanistan; diğer kurumlar bölge düzeyinde tanımlanıyor.

CrowdStrike’a göre kampanya, Çin bağlantılı grupların yapay zekâ ajanı kullanımında tekil sızmalardan bir insan operatörün yönettiği çok sayıda eşzamanlı operasyona geçildiğini gösteriyor. Şirket, araçların grubun uzun süreli erişim görevini değiştirmekten çok ölçeği büyüttüğünü değerlendiriyor. Çin bağlantılı grupların önümüzdeki 12 ayda ARTEX gibi ajan çerçevelerini benimsemeyi büyük olasılıkla sürdüreceğini öngörüyor. NBC News da kampanyanın, yapay zekânın hackerlara daha önce çok daha fazla insan emeği gerektiren bir ölçekte çalışma olanağı verdiğini gösterdiğini yazdı. NBC’nin haberinde Çin hükümetinden ya da DeepSeek’ten bir yanıt yer almıyor.