Operaattori kirjoitti ohjeen kiinaksi ja jätti loput koneille. ”Etsi toimialueelta Windows-koneet, joissa ei ole Falconia, tasklistin ja kansiolistausten perusteella”, kuului käsky. Tietoturvayhtiö CrowdStrike julkaisi sen torstaina englanniksi käännettynä. Falcon on CrowdStriken oma tietoturvaohjelmisto. Hyökkääjän tekoälyagentit siis etsivät koneita, joita kukaan ei vahtinut.
CrowdStriken 29. lokakuuta julkaiseman raportin mukaan Kiinaan kytkeytyvä Vapor Panda -ryhmä hyökkäsi ARTEX-työkalulla yli 200 organisaatioon ainakin 14 maassa. Kampanja alkoi 17. lokakuuta, ja yksi ARTEX-ohjain johti sitä 11 päivän ajan. Yhdeksässä organisaatiossa yhtiö vahvisti, että hyökkääjä pääsi sisään. Siellä hyökkääjä asensi BLOODALCHEMY-takaoven tai jatkoi tiedustelua verkon sisällä. Ainakin 12 muuhun organisaatioon kohdistui salasanaruiskutusta.
NBC News uutisoi asiasta ensimmäisenä ja kuvasi hakkereita Kiinan valtioon kytkeytyneiksi. CrowdStrike itse puhuu Kiinaan liittyvästä (”China-nexus”) toimijasta eikä nimeä raportissaan mitään valtion virastoa. Kytkös perustuu ohjausinfrastruktuuriin, kiinankielisiin ohjeisiin ja Kiinan aikavyöhykkeen aikaleimoihin. Kiina on toistuvasti kiistänyt osallisuutensa kybervakoiluun, eikä DeepSeek ole kommentoinut havaintoja julkisesti.
Sama työkalu, uusi mittakaava
ARTEX ei ole uusi nimi. AI Suomi kertoi lokakuun alussa, että ARTEXin jälkiä löytyi seitsemän eteläkorealaisen rahoitusyhtiön tietomurroista (https://aisuomi.fi/artikkelit/seitseman-korealaista-rahoitusyhtiota-murrettu-jaljilla-tekoalytyokalu). Microsoft raportoi 21. lokakuuta, että Kiinan valtion linjoilla toimiva Storm-0940-ryhmä käytti samaa avoimen lähdekoodin murtotestaustyökalua ConnectWise-toimitusketjuhyökkäyksessä. CrowdStriken mukaan Vapor Panda on eri toimija kuin Storm-0940.
Nyt muuttuivat kohteet. Listalla oli ulkoministeriöitä Latinalaisessa Amerikassa, Euroopassa, Aasiassa ja Lähi-idässä sekä Lähi-idän sisäministeriö. Yhdestä Euroopan maasta kohteina olivat presidentinkanslia, pääministerin kanslia ja useita ministeriöitä, muun muassa puolustus-, oikeus- ja valtiovarainministeriö sekä tiedustelusta vastaava ministeriö. Yhdysvalloissa kohteina oli lääke-, puolijohde-, puolustus-, ydinvoima- ja rahoitusalan yrityksiä sekä ajatushautomoita. Teleoperaattoreita murrettiin Yhdysvalloissa, Belgiassa ja Filippiineillä.
Ryhmä on CrowdStriken mukaan toiminut vuodesta 2021, mutta tekoälyagenttien käytöstä ei aiemmin ollut havaintoja. Kampanjassa ryhmä laajensi kohteitaan myös aloille, joihin se ei aiemmin ollut iskenyt.
Miksi tekoäly nopeuttaa murtoja
Perinteinen murto vaatii ihmistä joka vaiheessa. Joku etsii heikon kohdan, kokeilee tunnuksia, selvittää verkon rakenteen ja päättää, minne siirrytään seuraavaksi. Osaavia hyökkääjiä on rajallisesti, joten yksi tiimi ehtii hoitaa vain muutamaa kohdetta kerrallaan.
ARTEXissa pääagentti jakaa työt suunnittelu- ja suoritusagenteille, jotka kirjaavat havaintonsa yhteiseen tietokantaan. Agentit etenevät itsenäisesti alkumurrosta koneiden tiedusteluun ja sieltä verkossa eteenpäin. Ihminen astuu mukaan vain ratkaisukohdissa. Siksi yksi operaattori pystyi CrowdStriken mukaan pyörittämään useaa murtoa yhtä aikaa.
Kone ei myöskään väsy. Yhdessä ainoassa murrossa suunnitteluagentit käsittelivät noin 1,4 miljardia syötetokenia. Se vastaa karkeasti yli kymmenentuhannen romaanin tekstimäärää. Microsoft kuvasi Storm-0940:n toimintaa samaan tapaan: hyökkääjä käytti ARTEXia ”kiihdyttääkseen toiminnan koneen nopeuteen” (englanniksi ”to accelerate the activity to machine speed”). Osassa Microsoftin havaitsemista hyökkäyksistä hyökkääjä sai etuoikeutetun pääsyn pilveen alle kolmessa tunnissa.
Kielimalliksi Vapor Panda valitsi pääosin kiinalaisen DeepSeekin. Rinnalla oli maksullinen kaupallinen malli, jota CrowdStrike ei pystynyt varmuudella tunnistamaan. Yhtiö pitää kahden mallin käyttöä harkittuna: jos yksi palveluntarjoaja katkaisee pääsyn, operaatio jatkuu toisella.
Murroissa ei ollut mitään nerokasta. Sisään päästiin vanhoilla konsteilla. Hyökkääjät käyttivät avaimia, jotka löytyivät vuoden 2022 hakemistoviennistä ja joita ei ollut koskaan vaihdettu. Lisäksi ne hyödynsivät aiemmin vuotaneita VPN-tunnuksia, allekirjoittamattomia SAML-tunnisteita ja salasanaruiskutusta. Tekoäly kävi samat ovet läpi nopeammin ja useammassa paikassa kuin ihmistiimi ehtisi.
Entä Suomi?
Suomea ei mainita CrowdStriken raportissa, eikä Kyberturvallisuuskeskuksen 30. lokakuuta julkaistu viikkokatsaus käsittele kampanjaa. Eurooppalaiset ministeriöt ja teleoperaattorit olivat kuitenkin kohteina, ja samat sisäänpääsytavat toimivat missä tahansa maassa.
Lähin vertailukohta löytyy lokakuun alusta, jolloin Kyberturvallisuuskeskus varoitti Citrix NetScaler -laitteiden kriittisistä haavoittuvuuksista. Niiden kautta oli jo tehty useita tietomurtoja Suomessa. Tekoälyagentit käyvät väsymättä läpi juuri tällaisia internetiin näkyviä laitteita.
Liikenne- ja viestintäministeriön neuvotteleva virkamies Maija Rönkä kirjoitti Kyberturvallisuuskeskuksen viikkokatsauksessa 16. lokakuuta tekoälymurroksen vaikutuksista kyberturvallisuuteen. Hänen mukaansa tekoäly tuo uusia keinoja sekä puolustajille että hyökkääjille.
“Muuttuvassa uhkaympäristössä organisaatioiden on huolehdittava siitä, että turvallisuus kehittyy tekoälyn käytön rinnalla.”
