ИИ-хакерство выходит на глобальный уровень: китайские группы используют ARTEX для автоматизации кибершпионажа

Хакерские группы, связанные с Китаем, усиливают свои атаки с помощью технологии тестирования на проникновение под управлением ИИ, называемой ARTEX. Согласно CrowdStrike, Vapor Panda использует этот инструмент с 17 октября 2026 года в атаках на более чем 200 организаций по всему миру. Значительная часть работы выполняется искусственным интеллектом, тогда как окончательные решения принимаются людьми.

Планировщики и исполнители, исследующие множество путей одновременно

ARTEX опирается на одного главного агента для управления «планирующими» агентами, которые разрабатывают планы атак, и «исполнительными» агентами, которые их реализуют. Агенты совместно работают, обмениваясь данными при сканировании систем, эксплуатации уязвимостей и навигации по сетям. По информации CrowdStrike, Vapor Panda использовала DeepSeek вместе с неизвестной коммерческой системой ИИ. Только за одну атаку планирующие агенты обработали 1,4 миллиарда входных токенов.

В ходе кампании было затронуто не менее 14 стран. В число целей входили министерства иностранных дел и телекоммуникационные провайдеры. В США злоумышленники атаковали 19 организаций в фармацевтической, полупроводниковой, оборонной, ядерной и финансовой отраслях.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Однако, несмотря на масштаб операции, это не означало, что все атаки были успешными. CrowdStrike подтвердила факт эксплуатации только в девяти компаниях, включая использование бэкдора BLOODALCHEMY. Затем человеческие операторы перехватили управление: они создавали веб-оболочки, извлекали пароли и находили незащищённые машины.

От ConnectWise до Microsoft 365: вторая группа наращивает масштабы

ARTEX также использовался группировкой Storm-0940, другой хакерской группой, связанной с Китаем. Согласно Microsoft, группа начала использовать этот инструмент еще в сентябре 2026 года. Она атаковала сотни организаций и в ряде случаев получала привилегированный доступ к облачным сервисам менее чем за три часа. Microsoft также связала эту группировку с компрометацией ConnectWise Cloud Backup.

Масштаб её атак впечатляет. Microsoft зафиксировала более 151 000 неудачных попыток входа с 10 по 14 октября против 327 учётных записей в восьми компаниях. Пик нагрузки достигал 2 900 попыток в минуту. При этом успешных входов зарегистрировано не было.

Компрометация ConnectWise была отдельным направлением деятельности группировки. После этого инцидента злоумышленники также пытались изменить учетные данные облачных приложений, как ранее сообщало Cryptopolitan.

Актор, движимый финансовой выгодой, атакует южнокорейские банки

Третья кампания с использованием ARTEX имела иные мотивы. В конце сентября 2026 года злоумышленники применили этот инструмент против финансовых учреждений Южной Кореи, сообщил Zscaler. Они похитили личные данные примерно 67 000 человек.

Zscaler оценила злоумышленников как китайскоязычных лиц, действующих из финансовых соображений, с умеренной степенью уверенности. Подтверждений государственного спонсорства не было. CrowdStrike также обнаружила файлы ARTEX и логи Claude Code на системах, контролируемых злоумышленниками.

Как хакерская деятельность стала агентной

Однако движение в сторону автоматизированного взлома началось задолго до ARTEX. В 2025 году Anthropic раскрыла кампанию, спонсируемую китайским государством, в которой использовался Claude Code против примерно 30 целей. На выполнение оценочных 80–90% работы был задействован ИИ.

Google также задокументировала, как злоумышленники переходят от простых промптов для ИИ к автономным операциям. Эти более ранние активности не были связаны с кампаниями ARTEX, но они демонстрируют, насколько быстро развивается хакерство на базе ИИ.

Инфографика ARTEX AI о взломе: рабочий процесс агентов, китайские злоумышленники и рыночные риски

Что это может значить для банков, производителей чипов и облачных провайдеров

Риски выходят за рамки уже атакованных организаций. Банки сталкиваются с потенциальными утечками данных клиентов, а производители чипов могут потерять ценную интеллектуальную собственность. Для облачных провайдеров возникает еще одна угроза: компрометация учетных данных приложений, которая может привести к раскрытию информации о множестве клиентов.

Отраслевые данные показывают, почему более быстрые атаки вызывают обеспокоенность у бизнеса. По данным Verizon, вторжение в системы составило 61% всех утечек в его отчете за 2026 год. Microsoft сообщила, что подверженные атакам облачные рабочие среды подвергались атакам в среднем в течение 5,3 часов.

Тем временем Всемирный экономический форум установил, что 65% крупных компаний считают уязвимости сторонних поставщиков и цепочки поставок своей главной проблемой кибербезопасности, по сравнению с 54% в 2025 году.

По мере того как атаки становятся быстрее и более автоматизированными, компании могут перенаправить расходы на безопасность в сторону усиления контроля идентификации, ускоренного обнаружения угроз и более тщательного мониторинга поставщиков.

Источник