W opublikowanym 19 października 2026 r. badaniu NorForge opisało ponad 20 odsłoniętych paneli Cairn, które uznało za prawdopodobnie powiązane ze złośliwą aktywnością. Analiza pokazała też, że publicznie dostępne panele mogły narażać dane operatorów i ich klientów.
Ujawnione panele zawierały sekrety
Cairn to system rozwiązywania problemów z użyciem agentów. Agenci zapisują ustalenia na wspólnej tablicy projektu i wykorzystują je w kolejnych krokach. NorForge znalazło odsłonięte panele powiązane zarówno z podejrzaną aktywnością, jak i z operacjami zespołów red team, które wyglądały na legalne. Ujawnienie tych drugich mogło narazić ich klientów.
W danych paneli NorForge wykryło setki sekretów. Narzędzie Trufflehog zweryfikowało jako prawidłowe 11% z nich. Ten wynik dotyczy sekretów zapisanych w danych paneli.
Aktywność AIA0001 obejmowała ponad 1100 projektów
NorForge przypisało ponad 1100 projektów ataków na 14 pulpitach do chińskojęzycznego klastra aktywności oznaczonego jako AIA0001. W projektach, które osiągnęły cel, odnotowano średnio 140 informacji, szczególnie w przypadku tego klastra.
Średni czas od rozpoczęcia do osiągnięcia celu wynosił niecałe 23 godziny wśród analizowanych projektów zakończonych sukcesem. Jeden projekt trwał ponad pięć dni. NorForge oszacowało też skuteczność obserwowanych konfiguracji na około 10%. Klastry realizowały różne cele, co utrudnia bezpośrednie porównywanie ich wyników.
NorForge sprawdziło działający webshell
W jednym przypadku NorForge sprawdziło adres webshella wymieniony w ukończonym zadaniu Cairn u dużego dostawcy podzespołów sprzętowych. Badacze stwierdzili, że działał tam webshell do przesyłania plików.
Reuters informował o ponad 1200 próbach włamań na strony internetowe i ponad 100 zgłoszonych kompromitacjach. Te liczby opisują skalę kampanii; ustalenia NorForge dotyczą odsłoniętych paneli operatorów, projektów przypisanych do AIA0001 oraz konkretnego sprawdzonego przypadku.
