VAPOR PANDAがARTEXで世界200超の組織を標的に、9組織で侵入後の活動を確認
影響を受けるもの
- 外部公開のWebアプリとサーバー
- クラウドの管理権限と認証情報
- メール・VPNの認証鍵
- 端末・サーバーの監視対象
CrowdStrikeは10月29日、攻撃グループVAPOR PANDAがAIエージェントを連携させるARTEXを使い、複数組織への侵入を並行して進めたと報告した。10月17日以降、世界200超の組織が標的となり、同社は9組織で侵入後の活動を確認した。対象には各国の政府機関や通信事業者、米国の製薬・半導体・防衛分野などが含まれる。[1]
攻撃者は主にDeepSeekと別の商用AIモデルを使い、人間が判断点で指示を出していた。観測された活動には、過去の流出資料に残る認証鍵の悪用や、侵入後の操作に使うBLOODALCHEMYの配置がある。CrowdStrikeは、このキャンペーンをStorm-0940名義で報告されたARTEXの活動と別のものとしている。[1]
企業は認証情報と監視範囲を点検したい。同社は流出が疑われる署名鍵やサービス認証情報の更新、SAML署名検証の徹底、IMDSv2の必須化、クラウド権限の制限を勧める。攻撃者が監視センサー未導入の端末を探した観測もあり、内部サーバーを含む監視対象の漏れを解消することが重要だ。[1]
担当者が確かめること
- 過去のバックアップや流出資料に認証鍵が含まれる疑いがあれば、認証基盤で署名鍵・事前認証鍵・サービス認証情報を更新する。
- 認証連携の設定でSAML署名の検証を確認し、署名を検証できない認証情報を受け入れないようにする。
- クラウドのインスタンス設定でIMDSv2を必須にし、管理コマンドを実行できる権限を必要な対象だけに絞る。
- 資産台帳と端末監視の管理画面を照合し、内部サーバーも含めて監視センサーの未導入・停止端末を洗い出す。
- インターネット公開機器のソフトウェアとファームウェアを確認し、提供元の最新の更新を適用する。