رصدت شركة كراودسترايك استخدام جهات تهديد صينية مدعومة من الدولة إطار اختبار اختراق يعمل بالذكاء الاصطناعي ومكتوباً بلغة غو يحمل اسم ARTEX، في هجمات استهدفت جهات رفيعة القيمة في وقت واحد. ونسبت الشركة النشاط إلى مجموعة صينية تتعقبها باسم فيبور باندا، وكانت تُعرف سابقاً باسم فيكسيشس تمبر، وقد رُصدت أول مرة في فبراير 2021 وتتداخل مع مجموعة وصفتها تريند مايكرو باسم إيرث إستريز. وقالت كراودسترايك في تحليل نشرته الخميس إن الأدوات القائمة على الوكلاء الأذكياء مثل ARTEX تتيح هذا النطاق من التوسع بسرعة، بحيث يستطيع فريق صغير ملاحقة قائمة أهداف أوسع مما تسمح به العمليات اليدوية، وذلك دون تحول جذري عن مهمة المجموعة الأساسية في تطوير سبل الوصول إلى الشبكات.
حجم حملة فيبور باندا والجهات المستهدفة حول العالم
بدءاً من 17 أكتوبر 2026، استخدمت المجموعة الأداة ضد أكثر من 200 جهة متمايزة حول العالم، بينها وزارات خارجية في أمريكا اللاتينية وأوروبا وآسيا والشرق الأوسط، ومؤسسات في قطاعات أشباه الموصلات والدفاع ومراكز الأبحاث في الولايات المتحدة، إضافة إلى مزودي اتصالات في مناطق عدة. وتضمنت الأهداف البارزة التي عددتها كراودسترايك وزارتي خارجية في دولتين من أمريكا اللاتينية ووزارة خارجية في أمريكا الوسطى وأخرى في آسيا، ووزارة داخلية في الشرق الأوسط، ووزارة خارجية ورئاسة ومكتب رئيس وزراء في دولة أوروبية إلى جانب جهات دفاع وعدل ومالية واستخبارات فيها، و19 جهة أمريكية في قطاعات الأدوية وأشباه الموصلات والدفاع والنووي والمالية، ومزودي اتصالات في الولايات المتحدة وبلجيكا والفلبين.
وأكدت الشركة حدوث نشاط ما بعد الاختراق في تسع جهات، مكّن المهاجم من نشر برمجية بلود ألكيمي المشتقة من شادو باد، أعقبه رش كلمات المرور ومسح الشبكات والاستطلاع. كما نفذت المجموعة نشاط رش كلمات مرور وفحص بيانات اعتماد ضد 12 جهة إضافية على الأقل، من بينها مراكز أبحاث أمريكية وجهات حكومية أوروبية.
كيف تعمل أداة ARTEX ووكلاء الذكاء الاصطناعي
تقوم العملية على استخدام ARTEX مع نموذج ديب سيك ونموذج لغوي كبير تجاري قائم على الاشتراك لم تُعرف هويته بعد، لتنفيذ عمليات الاختراق على نطاق واسع عبر جيش من وكلاء التخطيط ووكلاء التنفيذ يتنسقون فيما بينهم لبلوغ هدف مشترك، بدءاً من الوصول الأولي ومروراً باستطلاع المضيف والحركة الجانبية. ويشرف مشغّل بشري على العملية، فيوجّه الوكلاء لكتابة واجهات ويب خلفية واستخراج كلمات مرور مدير النطاق وحصر تغطية مستشعرات الأجهزة الطرفية.
وقالت كراودسترايك إن وكلاء التخطيط استهلكوا في اختراق واحد نحو 1.4 مليار رمز إدخال، ما يشير إلى حجم النشاط الآلي ويوحي باستهلاك أعلى بكثير على مستوى العملية بأكملها. وعلى خلاف حملات سابقة استُخدم فيها الذكاء الاصطناعي لمساعدة عمليات اقتحام فردية، يُستخدم ARTEX هنا على مستوى أعلى لتشغيل عدة عمليات متزامنة، بينما يكتفي المشغّل البشري بالتدخل لتوجيه الوكلاء نحو الهدف مع اتخاذ خطوات لتجاوز دفاعات الأجهزة الطرفية.
وأظهر تحليل السجلات المستعادة استخدام الأداة مع أساليب مجربة، منها ربط تأكيد SAML غير موقّع بثغرة كيان خارجي في XML للاستعلام عن خدمة بيانات الوصف في السحابة، ثم الحصول على دور قادر على إصدار أوامر إدارية لآلاف الأجهزة السحابية قبل تصعيد الصلاحيات واسترداد حساب مدير المؤسسة. ومنها أيضاً نشر واجهات ويب خلفية واستغلال خدمة تنسيق غير موثقة للحصول على صلاحيات الجذر في بيئة حاويات إنتاجية، وقراءة كلمات مرور لابس، واستخدام التفويض المقيّد القائم على الموارد لانتحال حساب ذي صلاحيات. وفي حالة ثالثة زُوّد الوكيل بمفاتيح مصادقة لم تُدوَّر منذ عام 2022 فاستخدمها لتزوير رمز مدير وقراءة صناديق البريد، ثم استخدم إعدادات شبكة افتراضية خاصة استُردت من بريد مرسل لأحد المستخدمين مع مفتاح عميل مستمد من تسريب بريد مزعوم في مايو 2024 للوصول إلى الشبكة الداخلية.
وأوضحت كراودسترايك أن الوكلاء سلكوا مسارات هجوم متعددة بالتوازي شملت تطبيقات الويب والخدمات السحابية وبيئات الحاويات والدليل النشط والبريد والشبكات الافتراضية الخاصة، وانتقلوا إلى مسارات بديلة حين فشل أحدها، وهو ما يتيح على الأرجح لمشغّل واحد تطبيق مجموعة أوسع من الأساليب ضد أهداف أكثر في الوقت نفسه. وجاء ذلك في ظل انتشار واسع لـARTEX بين جهات التهديد في مدة وجيزة، ما دفع مطوره لي بوهوا المعروف باسم أوتم 27 إلى إغلاق مصدره. وذكرت زيسكيلر ثريت لابز في تقرير سابق أن الأداة تنسق عدة خلفيات نماذج لغوية لتنفيذ الاستطلاع وتحديد الثغرات والاستغلال بصورة مستقلة، ما يخفض الحاجز التقني أمام شن حملات اختراق معقدة.
مجموعات باندا الجديدة المرتبطة بالصين
تزامن الكشف مع ظهور أربع مجموعات صينية مدعومة من الدولة لم تُوثق من قبل، هي هولو باندا وأوفركاست باندا وتيتان باندا وفيلد باندا، استهدفت قطاعات واسعة حول العالم لجمع المعلومات الاستخباراتية وسرقة الملكية الفكرية. ووُصفت أوفركاست باندا بأنها من أكثر التهديدات تطوراً واستمراراً أمام المؤسسات التي يسافر موظفوها إلى الصين، وارتبطت بعمليات اختراق عن قرب نشرت فيها بابها الخلفي الخاص فلو كلاود على أجهزة الضحايا عبر وصول مادي مباشر أثناء وجودهم في البلاد.
ويُطلق فلو كلاود عبر تحميل جانبي لمكتبات DLL، وصُممت مكوناته للتخفي ومقاومة التحليل الجنائي، ويجري الاتصال بخوادم القيادة والتحكم عبر بنية سحابية شرعية لإخفاء الوجود. وقالت كراودسترايك إنه أداة متطورة صُنعت لغرض محدد وترتبط حصراً بأوفركاست باندا، وتمنح المهاجم وصولاً دائماً وخفياً إلى الجهاز يتيح تسجيل ضغطات المفاتيح والتقاط الشاشة وجمع الملفات وحصاد بيانات الاعتماد.
أما تيتان باندا فرُصدت وهي تستهدف برمجيات فواتير قانونية عبر استغلال ثغرة مفتاح جهاز مشفر ثابت في خدمات معلومات الإنترنت IIS ضمن برنامج إنتاب تايم سيرفر، لتحقيق تنفيذ شيفرة عن بعد في شركات المحاماة. وكُشفت الهجمات أول مرة في أبريل 2026 وأفضت إلى نشر إطار يعمل في الذاكرة باسم آيس جاينت لتنفيذ الاستطلاع والبقاء والحركة الجانبية وسحب البيانات، ويُقدَّر أن المجموعة نشطة منذ عام 2021 على الأقل، وقد اخترقت عدة جهات قانونية في أمريكا الشمالية على مدى أكثر من عامين. ولا يُعرف كيف حصلت تيتان باندا على المفاتيح الافتراضية، لكن اختراق جهة قانونية تشغّل البرنامج ربما كشف المفاتيح المخزنة في ملف الإعدادات، ما يتيح هجمات إلغاء تسلسل بيانات ViewState ضد أي جهة تستخدم التثبيتات الافتراضية.
