Beveiligingsbedrijf CrowdStrike meldt dat een Chinese staatsgesteunde groep sinds 17 oktober een AI-gestuurd aanvalsraamwerk met de naam ARTEX heeft ingezet tegen meer dan tweehonderd organisaties wereldwijd, vaak meerdere hoogwaardige doelwitten tegelijk. CrowdStrike schrijft de activiteit toe aan Vapor Panda, een groep die het bedrijf eerder VexatiousTemper noemde en die al sinds februari 2021 bekend is. Trend Micro volgt een overlappend cluster onder de naam Earth Estries.
ARTEX is geschreven in Go en combineert het Chinese taalmodel DeepSeek met een nog niet geïdentificeerd commercieel taalmodel op abonnementsbasis. Het raamwerk laat planner-agents en worker-agents samenwerken aan één doel, van de eerste toegang tot een netwerk via verkenning tot laterale beweging binnen een organisatie. Een menselijke operator houdt toezicht en grijpt in waar nodig, bijvoorbeeld om endpointbeveiliging te omzeilen, terwijl de agents zelf webshells plaatsen, wachtwoorden van domeinbeheerders ophalen en nagaan welke systemen wel of niet gedekt zijn door beveiligingssoftware. Bij één enkele inbraak verbruikten alleen al de planning-agents ongeveer 1,4 miljard input-tokens. CrowdStrike vermoedt dat het totale tokengebruik van de hele operatie veel hoger ligt en stelt dat vooral de snelheid van de aanvallen toeneemt: “Agentic tooling like ARTEX enables this scale of expansion at speed.”
Het bedrijf bevestigde bij negen organisaties dat de aanvallers na de eerste toegang ook echt doorzetten, onder meer met de backdoor BLOODALCHEMY, een afgeleide van het bekende ShadowPad, gevolgd door credential spraying, netwerkscans en verdere verkenning. Bij minstens twaalf andere organisaties zag CrowdStrike password spraying en scans naar inloggegevens, onder meer bij Amerikaanse denktanks en Europese overheidsinstanties.
De doelwitten lopen uiteen van de ministeries van Buitenlandse Zaken van twee Latijns-Amerikaanse landen, een land in Centraal-Amerika en een land in Azië, tot een ministerie van Binnenlandse Zaken in het Midden-Oosten. In een Europees land werden het ministerie van Buitenlandse Zaken, het presidentieel kabinet en het kabinet van de premier getroffen, naast defensie-, justitie-, financiële en inlichtingendiensten. In de Verenigde Staten gaat het om negentien organisaties in de farmaceutische, halfgeleider-, defensie-, nucleaire en financiële sector, plus telecomproviders in de VS, België en de Filipijnen.
Uit de aanvalsketens die CrowdStrike analyseerde blijkt hoe gericht de agents werken. In één cloudomgeving combineerden ze een ongesigneerde SAML-assertion met een XXE-kwetsbaarheid om de metadata-service van de cloudinstantie te bevragen, en wisten ze zo uiteindelijk een enterprise-beheerdersaccount te verkrijgen. Bij een andere inbraak plaatsten ze webshells en misbruikten ze een niet-geauthenticeerde orchestratiedienst om rootrechten te krijgen in een productiecontaineromgeving, waarna ze LAPS-wachtwoorden uitlazen. Bij een derde organisatie gebruikten ze niet-geroteerde authenticatiesleutels uit 2022 om een beheerderstoken te vervalsen, mailboxen te lezen en via gelekte VPN-configuraties het interne netwerk te bereiken.
De ontwikkelaar van ARTEX, bekend als Li Puhua of “Autumn-27”, heeft het raamwerk inmiddels closed source gemaakt nadat meerdere andere dreigingsactoren het snel hadden overgenomen. Ook beveiligingsbedrijf Zscaler ziet dat het raamwerk de technische drempel voor complexe aanvalscampagnes verlaagt, omdat het meerdere taalmodellen inzet voor autonome verkenning, het opsporen van kwetsbaarheden en exploitatie.
Voor organisaties is dit vooral een signaal dat basismaatregelen belangrijker worden, niet minder. Roteer authenticatiesleutels en API-tokens standaard na verloop van tijd, ook zonder concrete aanleiding, en controleer of er nog VPN-configuraties rondzweven die ooit per mail zijn verstuurd. Juist dat soort verouderde, vergeten sleutels was in meerdere aanvalsketens de ingang, niet een onbekende kwetsbaarheid.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.