Čínsky napojená skupina VAPOR PANDA pronikla pomocí agentů AI do devíti z více než 200 cílů

CrowdStrike uvedl, že protivník VAPOR PANDA napojený na Čínu použil k útokům na více než 200 organizací v nejméně 14 zemích během jedenáctidenního období počínajícího 17. října 2026 útočný framework ARTEX využívající AI, provozovaný převážně na čínském velkém jazykovém modelu DeepSeek a druhém komerčním modelu. CrowdStrike Intelligence potvrdil aktivitu po průniku do devíti organizací v zprávě zveřejněné 29. října 2026.

CrowdStrike OverWatch zaznamenal, že útoky vycházely z jediného řídicího systému ARTEX, který CrowdStrike Intelligence spojil s infrastrukturou VAPOR PANDA. Řídicí systém pravidelně zpřístupňoval nástroje protivníka, soubory s cíli a přepisy činnosti agentů, což ukazovalo na několik souběžných operací, označovaných v rámci frameworku jako úlohy, zaměřených na více cílů. V devíti organizacích, u nichž byla potvrzena aktivita po průniku, protivník získal přístup, nasadil zadní vrátka BLOODALCHEMY a přešel k hromadnému zkoušení přihlašovacích údajů, skenování sítě a průzkumu. Prováděl také útoky typu password spraying a skenování přihlašovacích údajů proti nejméně 12 dalším organizacím, mezi nimiž byly americké think-tanky a vládní instituce v Evropě.

Útoky napříč regiony a odvětvími

CrowdStrike uvedl, že VAPOR PANDA prováděl rozsáhlé průniky do ministerstev zahraničí dvou zemí v Latinské Americe, pravděpodobně pronikl i do třetího a připravoval soubory s cíli pro pozdější použití proti ministerstvům zahraničí ve Střední Americe a Asii. Protivník také kompromitoval ministerstvo vnitra v zemi na Blízkém východě.

CrowdStrike uvedl, že jedna operace se zaměřila na jedinou evropskou zemi: na její ministerstvo zahraničí, prezidentskou kancelář a úřad předsedy vlády, dále na instituce v oblasti obrany, justice, financí a zpravodajských služeb. Další operace cílila na 19 organizací se sídlem v USA z farmaceutického, polovodičového, obranného, jaderného a finančního sektoru. Kompromitováni byli také poskytovatelé telekomunikačních služeb v USA, Belgii a na Filipínách.

Uvnitř operace ARTEX

CrowdStrike uvedl, že VAPOR PANDA provozoval ARTEX převážně s modelem DeepSeek, doplněným o druhý komerční velký jazykový model dostupný na základě předplatného, jehož použití CrowdStrike Intelligence nedokázal potvrdit. Během jediného průniku zpracovali plánovací agenti protivníka přibližně 1,4 miliardy vstupních tokenů. Podle CrowdStrike tento údaj svědčí o rozsahu automatizované činnosti a naznačuje, že celá operace spotřebovala mnohem více.

Podle CrowdStrike kombinuje ARTEX hlavního agenta s podřízenými plánovacími a pracovními agenty, kteří sdílejí graf faktů, zjištění a cílů a posouvají každou operaci od počátečního přístupu přes průzkum napadených zařízení až po laterální pohyb v síti. Framework ponechával člověka v rozhodovacím procesu. Získané přepisy ukázaly operátora zadávajícího pokyny v čínštině, označené štítkem přeloženým jako „pokyn člověka“ a opatřené časovým razítkem v čínském standardním čase. Agentům přikazoval vytvářet webové shelly, získávat přihlašovací údaje správců domény a kontrolovat pokrytí senzory koncových zařízení.

Zpráva podrobně popisuje práci agenta ve dvou farmaceutických organizacích se sídlem v USA. V první agent zkombinoval nepodepsané tvrzení SAML (Security Assertion Markup Language) se zranitelností typu XXE (XML external entity), aby získal přístup ke cloudové službě Instance Metadata Service. Tím získal roli, která umožňovala zadávat administrátorské příkazy tisícům instancí, a následně obnovil účet podnikového správce. Ve druhé organizaci agent nasadil webové shelly, zneužil neověřovanou orchestrace službu k získání přístupu root v produkčním kontejnerovém prostředí, přečetl hesla řešení Local Administrator Password Solution a zneužil delegování s omezeným rozsahem založené na prostředcích k zosobnění účtu s privilegovanými oprávněními.

Zpráva popisuje také operaci proti řecké vládní organizaci. Operátor agentovi poskytl export adresáře z poštovního serveru organizace z roku 2022, který obsahoval autentizační klíče, jež od té doby pravděpodobně nebyly nikdy obměněny. Agent tyto klíče použil k padělání tokenu správce a ke čtení poštovních schránek. Poté pronikl do interní sítě prostřednictvím konfigurací VPN získaných z odeslané pošty jednoho uživatele a klíče klienta VPN, který podle operátora pocházel z úniku e-mailů z května 2024.

CrowdStrike uvedl, že agenti během těchto operací souběžně zkoušeli více cest útoku napříč webovými aplikacemi, cloudovými službami, kontejnerovými prostředími, službou Active Directory a poštovní a VPN infrastrukturou. Když některá cesta selhala, přešli k alternativním postupům. CrowdStrike dříve zaznamenal aktéry hrozeb, kteří využívali agenty AI jako pomoc při jednotlivých průnicích; VAPOR PANDA však prováděl několik operací současně a operátor zasahoval pouze v okamžicích rozhodování, aby agenty přesměroval. Operátor také nechal agenty obcházet ochranu koncových zařízení. V globální farmaceutické organizaci jim přikázal: „najděte v doméně počítače s Windows bez Falconu, soudě podle výpisů úloh a obsahu složek“. Použil přitom výraz, který CrowdStrike označil za slang čínských red teamů pro senzor CrowdStrike Falcon.

Nasazení BLOODALCHEMY

CrowdStrike uvedla, že VAPOR PANDA nasadila BLOODALCHEMY na ministerstvu vnitra na Blízkém východě a ministerstvu zahraničí v Latinské Americe. Jde o zadní vrátka, která byla poprvé veřejně zdokumentována v říjnu 2023. Útočník přejmenoval legitimní binární soubor GameHook na svchost.exe a použil ho k načtení škodlivé knihovny DLL graphics-hook-filter64.dll, která následně dešifrovala soubor s nákladem BLOODALCHEMY graphics-hook_config.bin. Kopie všech tří souborů pak umístil do veřejně přístupných otevřených adresářů. Implantát obsahuje interní cestu k projektu D:\ProjectX\Merman_New\, která podle CrowdStrike pravděpodobně odráží interní název, pod nímž byl malware vyvíjen. BLOODALCHEMY komunikoval s infrastrukturou VAPOR PANDA, včetně řídicích domén nginxmysql.com a sqlserver-sqlite.com, které podle zprávy nefigurují v předchozích veřejných zprávách o ARTEX.

Posouzení a doporučená ochranná opatření

CrowdStrike uvedla, že se tato kampaň liší od aktivity ARTEX, kterou oborové zdroje popisovaly pod označením Storm-0940. Podle jejího názoru to pravděpodobně naznačuje, že si tento framework rychle získává oblibu u několika protivníků napojených na Čínu. Od roku 2021 se VAPOR PANDA zaměřuje především na vládní organizace, think-tanky, energetické společnosti a organizace působící v těžebním průmyslu v Evropě, Severní Americe, Oceánii a Spojeném království, aby si zajistila dlouhodobý přístup. Zpráva označila tuto kampaň za první případ, kdy CrowdStrike zaznamenala, že protivník používá nástroje pro průnik do systémů založené na umělé inteligenci. Zároveň jde o významné rozšíření jeho záběru na farmaceutické, polovodičové, jaderné a obranné organizace a ministerstva zahraničí v nových regionech. Zpráva uvádí, že spoléhání této operace na DeepSeek a další komerční modely, provozované prostřednictvím nástroje vytvořeného přímo pro tento účel, pravděpodobně odráží záměr vybudovat odolný soubor nástrojů využívající několik poskytovatelů modelů namísto závislosti na jediné službě.

CrowdStrike odhaduje, že protivníci napojení na Čínu budou s vysokou pravděpodobností v příštích 12 měsících nadále zavádět agentní frameworky, jako je ARTEX, kombinovat je s komerčně dostupnými LLM a umožňovat tak malým týmům rozšiřovat průniky do mnoha cílů současně.

Zpráva doporučuje, aby organizace po každém podezření na únik dat obměnily podpisové klíče, předautentizační klíče a přihlašovací údaje služeb, včetně klíčů uložených ve starších zálohách a exportech adresářů; vynucovaly ověřování podpisů SAML, vyžadovaly IMDSv2 a omezily oprávnění cloudových rolí ke spouštění příkazů na nejmenší nutný počet instancí; vyhledávaly indikátory ARTEX, například řetězce artx nebo artex v parametrech příkazového řádku, cloudové role s předponou artx a adresář C:\ProgramData\artx5v\; opravovaly zranitelnosti zařízení vystavených internetu, zejména serverů se systémem Linux, které jsou v provozu dlouhou dobu; a nasadily v celém prostředí agenta pro detekci a reakci na koncových zařízeních v reálném čase, včetně serverů považovaných za nedostupné z veřejného internetu.