کراؤڈ اسٹرائیک کے مطابق چین میں قائم گروپ ویپر پانڈا نے 17 اکتوبر سے ARTEX نامی ایجنٹک اے آئی فریم ورک کے ذریعے کم از کم 14 ممالک کے 200 سے زائد اداروں کو نشانہ بنایا، جن میں نو میں دراندازی کی تصدیق ہوئی۔
کراؤڈ اسٹرائیک نے 29 اکتوبر کو بتایا کہ چین میں قائم ایک حملہ آور گروپ، جسے وہ ویپر پانڈا (پہلے VexatiousTemper) کے نام سے ٹریک کرتی ہے، نے عالمی جاسوسی مہم چلانے کے لیے ARTEX نامی اے آئی سے چلنے والا فریم ورک استعمال کیا۔ یہ سرگرمی 17 اکتوبر کو شروع ہوئی اور کمپنی کی OverWatch ٹیم نے ایک ہی ARTEX کنٹرولر سے 11 دن تک استحصال دیکھا۔ کمپنی کے مطابق کم از کم 14 ممالک کے 200 سے زائد الگ الگ ادارے نشانہ بنے، جن میں وزارتِ خارجہ، ایک ایوانِ صدر اور ایک وزارتِ داخلہ، سیمی کنڈکٹر، دفاعی اور تھنک ٹینک ادارے، ٹیلی کام فراہم کنندگان، اور دوا ساز، جوہری اور مالیاتی کمپنیاں شامل ہیں۔ صرف ایک کارروائی میں امریکہ کے 19 ادارے شامل تھے۔
کراؤڈ اسٹرائیک کا کہنا ہے کہ اس نے نو اداروں میں دراندازی کے بعد کی سرگرمی کی تصدیق کی، جس میں رسائی، BLOODALCHEMY بیک ڈور کی تنصیب، اسناد کی اسپرے کاری، نیٹ ورک اسکیننگ اور جاسوسی شامل تھی، جبکہ کم از کم 12 مزید ادارے پاس ورڈ اسپرے اور اسناد اسکیننگ کی کوششوں کا شکار ہوئے۔ کمپنی ARTEX کو ایسا ایجنٹک فریم ورک بتاتی ہے جس میں ایک مرکزی ایجنٹ حقائق، نتائج اور اہداف کے مشترکہ گراف کے ذریعے ماتحت منصوبہ ساز اور کام کرنے والے ایجنٹوں کو مربوط کرتا ہے اور دراندازی کو ابتدائی رسائی سے لیٹرل موومنٹ تک لے جاتا ہے۔ ایک انسانی آپریٹر فیصلے کے مقامات پر چینی زبان میں ہدایات دے کر ایجنٹوں کی رہنمائی کرتا رہا۔ کارروائی بنیادی طور پر چینی نژاد DeepSeek ماڈل اور ایک دوسرے سبسکرپشن پر مبنی تجارتی ماڈل پر انحصار کرتی تھی جس کی شناخت کراؤڈ اسٹرائیک نہ کر سکی؛ ایک دراندازی میں منصوبہ ساز ایجنٹوں نے تقریباً 1.4 ارب ان پٹ ٹوکن استعمال کیے۔ دی ہیکر نیوز، زیڈ اسکیلر ThreatLabz کی تحقیق کا حوالہ دیتے ہوئے، ARTEX کو خودکار جاسوسی اور استحصال کے لیے متعدد لینگویج ماڈل بیک اینڈز کو منظم کرنے والا نظام قرار دیتی ہے۔
رپورٹ شدہ تکنیکیں زیادہ تر روایتی کمزوریاں تھیں جنہیں تیزی سے ایک زنجیر میں جوڑا گیا: بغیر دستخط والے SAML دعوے اور XXE خامیوں کا امتزاج، طاقتور کردار حاصل کرنے کے لیے کلاؤڈ میٹا ڈیٹا سروسز کا غلط استعمال، مقامی ایڈمن پاس ورڈ پڑھنا، اور 2022 سے تبدیل نہ ہونے والی تصدیقی کنجیوں سے ایڈمن ٹوکن جعل کرنا۔ کراؤڈ اسٹرائیک یہ بھی بتاتی ہے کہ ایجنٹوں نے ایسے ہوسٹ تلاش کیے جن پر اس کا Falcon سینسر نہیں تھا اور بعد کی سرگرمی وہیں مرکوز کی۔ اس کی سفارشات میں مشتبہ انکشاف کے بعد سائننگ کنجیاں اور سروس اسناد تبدیل کرنا، SAML دستخط کی توثیق لازمی کرنا، IMDSv2 لازمی قرار دینا، کلاؤڈ رولز کی اجازتیں محدود کرنا، انٹرنیٹ سے جڑے آلات کو پیچ کرنا اور تمام سرورز پر اینڈ پوائنٹ ڈیٹیکشن لگانا شامل ہیں۔ یہ نتائج اور منسوب کرنا فروش کا اپنا اندازہ ہے جو اس کی ٹیلی میٹری پر مبنی ہے اور آزادانہ طور پر آڈٹ نہیں ہوا؛ رپورٹ یہ نہیں بتاتی کہ تصدیق شدہ نو دراندازیوں میں سے کتنی میں ڈیٹا چوری ہوا۔
