CrowdStrike: Cin baglantili Vapor Panda, AI destekli ARTEX ile 200'den fazla kurumu hedef aldi

Cin baglantili bir tehdit grubu, yapay zeka destekli bir saldiri cercevesi kullanarak dunya genelinde 200'den fazla kurumu hedef aldi. CrowdStrike'in The Hacker News tarafindan 30 Ekim 2026'da aktarilan yeni arastirmasina gore grup, Vapor Panda (eski adiyla VexatiousTemper) olarak izleniyor ve ilk kez Subat 2021'de tespit edilen, Cin merkezli devlet destekli bir sizma aktoru olarak tanimlaniyor.

Neler oldu?

The Hacker News'e gore Vapor Panda, 17 Ekim 2026'dan itibaren ARTEX adli bir araci farkli kurumlara karsi kullanmaya basladi. Raporda alinti yapilan Zscaler ThreatLabz, ARTEX'i 'birden fazla LLM arka ucunu yoneterek otonom bicimde kesif, zafiyet tespiti ve istismar yapan' Go tabanli, yapay zeka destekli bir sizma testi cercevesi olarak tanimliyor. The Hacker News, bir Wall Street Journal haberine dayanarak aracin gelistiricisinin, tehdit aktorlerince genis olcude benimsenmesinin ardindan araci kapali kaynakli hale getirdigini belirtiyor.

Teknik detaylar

The Hacker News, CrowdStrike'a dayanarak ARTEX'in DeepSeek modeli ve kimligi belirsiz, abonelik tabanli ticari bir LLM ile calistirildigini aktariyor; cerceve, ilk erisimden ana makine kesfine ve yatay harekete kadar ortak bir hedefe dogru calisan 'planlayici ve isci' ajan mimarisi kullaniyor. Kampanyayi bir insan operator yonetti ve ajanlara web kabuklari yazma, etki alani yoneticisi parolalarini cikarma ve hangi uc noktalarin guvenlik sensorleriyle korundugunu listeleme talimati verdi. Bir saldiri yolu basarisiz oldugunda ajanlarin web, bulut, konteyner, Active Directory, e-posta ve VPN ortamlarinda alternatifleri es zamanli olarak denedigi belirtiliyor. Tek bir sizmada yalnizca planlama ajanlari yaklasik 1,4 milyar girdi tokeni tuketti; CrowdStrike bunun operasyon genelinde cok daha yuksek bir tuketime isaret ettigini soyluyor.

Kimler etkileniyor?

The Hacker News'e gore hedefler; Latin Amerika, Avrupa, Asya ve Orta Dogu'daki hukumet ve dis isleri kurumlarini kapsiyor. Bunlar arasinda bir Avrupa ulkesinin dis isleri bakanligi, cumhurbaskanligi, basbakanlik ofisi ile savunma, adalet, maliye ve istihbarat birimleri yer aliyor. ABD'de ilac, yari iletken, savunma, nukleer ve finans sektorlerinden 19 kurum ile dusunce kuruluslari hedef alindi. ABD, Belcika, Filipinler ve diger bolgelerdeki telekomunikasyon saglayicilari da saldiriya ugradi. CrowdStrike'a gore dokuz kurumda saldiri sonrasi etkinlik dogrulandi; saldirganlar burada ShadowPad arka kapisinin bir turevi olarak tanimlanan BLOODALCHEMY'yi yerlestirdi ve kimlik bilgisi puskurtmesi, ag taramasi ve kesif yapti. En az 12 kurum daha -ABD dusunce kuruluslari ve Avrupa hukumet birimleri dahil- parola puskurtmesi ve kimlik bilgisi taramasiyla karsilasti. Rapor, Vapor Panda'nin etkinliginin Trend Micro'nun ele aldigi Earth Estries kumeleriyle ortustugunu not ediyor.

Ne yapmali?

Sergilenen otomasyon, sizmalarin hizini ve kapsamini artiriyor; ancak temeldeki teknikler bildik yontemler. Tarif edilen TTP'lere dayanarak savunmacilar SAML dogrulamalarini sikica denetlemeli, uzun omurlu anahtar ve sirlari duzenli olarak degistirmeli ve bulut meta veri erisimini korumali (ornegin IMDSv2) hale getirmeli. Active Directory'de LAPS erisimi ve yetki devri ayarlari denetlenmeli, XML ayristiricilarda dis varlik islemesi devre disi birakilmali ve kimlik dogrulamasiz orkestrasyon API'leri kisitlanmali. Ajanlar sensor kapsamini bosluk aramak icin listeledigi icin kurumlar uc nokta tespitinin her yere yayildigini dogrulamali ve yogun kimlik bilgisi puskurtmesi ile yuksek hacimli otomatik yonetici islemlerini izlemeli.