ИИ-хакерство выходит на глобальный уровень: китайские группы используют ARTEX для автоматизации кибершпионажа
- По данным CrowdStrike, китайская группа Vapor Panda использовала фреймворк для тестирования на проникновение с ИИ ARTEX для атак на более чем 200 организаций в至少 14 странах начиная с 17 октября, хотя подтверждены были лишь девять случаев успешного взлома.
- Отдельные кампании Storm-0940 против ConnectWise и финансово мотивированной группы против южнокорейских банков демонстрируют распространение ARTEX среди различных злоумышленников.
- Это ускорило масштаб атак на банки, производителей чипов, фармацевтические компании, телекоммуникационные операторы и их цепочки поставок.
Хакерские группы, связанные с Китаем, усиливают свои атаки с помощью технологии тестирования на проникновение под управлением ИИ, называемой ARTEX. Согласно CrowdStrike, Vapor Panda использует этот инструмент с 17 октября 2026 года в атаках на более чем 200 организаций по всему миру. Значительная часть работы выполняется искусственным интеллектом, тогда как окончательные решения принимаются людьми.
Планировщики и исполнители, исследующие множество путей одновременно
ARTEX опирается на одного главного агента для управления «планирующими» агентами, которые разрабатывают планы атак, и «исполнительными» агентами, которые их реализуют. Агенты совместно работают, обмениваясь данными при сканировании систем, эксплуатации уязвимостей и навигации по сетям. По информации CrowdStrike, Vapor Panda использовала DeepSeek вместе с неизвестной коммерческой системой ИИ. Только за одну атаку планирующие агенты обработали 1,4 миллиарда входных токенов.
В ходе кампании было затронуто не менее 14 стран. В число целей входили министерства иностранных дел и телекоммуникационные провайдеры. В США злоумышленники атаковали 19 организаций в фармацевтической, полупроводниковой, оборонной, ядерной и финансовой отраслях.
Однако, несмотря на масштаб операции, это не означало, что все атаки были успешными. CrowdStrike подтвердила факт эксплуатации только в девяти компаниях, включая использование бэкдора BLOODALCHEMY. Затем человеческие операторы перехватили управление: они создавали веб-оболочки, извлекали пароли и находили незащищённые машины.
От ConnectWise до Microsoft 365: вторая группа наращивает масштабы
ARTEX также использовался группировкой Storm-0940, другой хакерской группой, связанной с Китаем. Согласно Microsoft, группа начала использовать этот инструмент еще в сентябре 2026 года. Она атаковала сотни организаций и в ряде случаев получала привилегированный доступ к облачным сервисам менее чем за три часа. Microsoft также связала эту группировку с компрометацией ConnectWise Cloud Backup.
Масштаб её атак впечатляет. Microsoft зафиксировала более 151 000 неудачных попыток входа с 10 по 14 октября против 327 учётных записей в восьми компаниях. Пик нагрузки достигал 2 900 попыток в минуту. При этом успешных входов зарегистрировано не было.
Компрометация ConnectWise была отдельным направлением деятельности группировки. После этого инцидента злоумышленники также пытались изменить учетные данные облачных приложений, как ранее сообщало Cryptopolitan.
Актор, движимый финансовой выгодой, атакует южнокорейские банки
Третья кампания с использованием ARTEX имела иные мотивы. В конце сентября 2026 года злоумышленники применили этот инструмент против финансовых учреждений Южной Кореи, сообщил Zscaler. Они похитили личные данные примерно 67 000 человек.
Zscaler оценила злоумышленников как китайскоязычных лиц, действующих из финансовых соображений, с умеренной степенью уверенности. Подтверждений государственного спонсорства не было. CrowdStrike также обнаружила файлы ARTEX и логи Claude Code на системах, контролируемых злоумышленниками.
Как хакерская деятельность стала агентной
Однако движение в сторону автоматизированного взлома началось задолго до ARTEX. В 2025 году Anthropic раскрыла кампанию, спонсируемую китайским государством, в которой использовался Claude Code против примерно 30 целей. На выполнение оценочных 80–90% работы был задействован ИИ.
Google также задокументировала, как злоумышленники переходят от простых промптов для ИИ к автономным операциям. Эти более ранние активности не были связаны с кампаниями ARTEX, но они демонстрируют, насколько быстро развивается хакерство на базе ИИ.
Что это может значить для банков, производителей чипов и облачных провайдеров
Риски выходят за рамки уже атакованных организаций. Банки сталкиваются с потенциальными утечками данных клиентов, а производители чипов могут потерять ценную интеллектуальную собственность. Для облачных провайдеров возникает еще одна угроза: компрометация учетных данных приложений, которая может привести к раскрытию информации о множестве клиентов.
Отраслевые данные показывают, почему более быстрые атаки вызывают обеспокоенность у бизнеса. По данным Verizon, вторжение в системы составило 61% всех утечек в его отчете за 2026 год. Microsoft сообщила, что подверженные атакам облачные рабочие среды подвергались атакам в среднем в течение 5,3 часов.
Тем временем Всемирный экономический форум установил, что 65% крупных компаний считают уязвимости сторонних поставщиков и цепочки поставок своей главной проблемой кибербезопасности, по сравнению с 54% в 2025 году.
По мере того как атаки становятся быстрее и более автоматизированными, компании могут перенаправить расходы на безопасность в сторону усиления контроля идентификации, ускоренного обнаружения угроз и более тщательного мониторинга поставщиков.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Что такое ARTEX?
ARTEX — это агентная платформа для пентестинга, разработанная в Китае на языке Go, которая интегрируется с большими языковыми моделями для автоматизации разведки, выявления уязвимостей и эксплуатации. Ее разработчик Ли Пухуа ("Autumn-27") перевел проект в закрытый исходный код после того, как он распространился среди злоумышленников.
Сколько организаций действительно подверглись взлому в рамках кампании Vapor Panda?
Компания CrowdStrike подтвердила факт эксплуатации уязвимостей на девяти из более чем 200 затронутых организаций с 17 октября; остальные случаи остались попытками или не были подтверждены. В отдельном инциденте Storm-0940, связанном с ConnectWise, компания Huntress сообщила о компрометации 162 клиентских аренд.
Является ли это единой скоординированной китайской операцией?
Нет. Vapor Panda от CrowdStrike, Storm-0940 от Microsoft и неназванный южнокорейский злоумышленник от Zscaler — это различные группы с разными целями. По оценке Zscaler, данная группа действует из финансовых соображений, а не как подтвержденная государственная хакерская группировка. Они используют общий инструмент ARTEX, но не единый центр управления.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ибиам Вайяс
Ибиам Вайяс освещает криптовалютные новости с 2019 года. Он изучал компьютерные науки в Национальном открытом университете Нигерии. Его работы публиковались на различных криптовалютных новостных платформах, включая Coinfomania, Crypto News Australia и AltcoinBuzz. Опираясь на свой опыт в области компьютерных наук, он теперь фокусируется на новостях о криптовалютах, робототехнике и долголетии.
