Kina-tilknyttede VAPOR PANDA brød ind hos ni af over 200 mål ved hjælp af AI-agenter

CrowdStrike oplyste, at den Kina-tilknyttede trusselsaktør VAPOR PANDA brugte det AI-drevne ARTEX-indtrængningsframework, der primært kørte på den kinesiskudviklede store sprogmodel DeepSeek og en anden kommerciel model, til at gå efter mere end 200 organisationer i mindst 14 lande i løbet af en periode på 11 dage, der begyndte den 17. oktober 2026. CrowdStrike Intelligence bekræftede aktivitet efter kompromittering hos ni organisationer i en rapport offentliggjort den 29. oktober 2026.

CrowdStrike OverWatch observerede udnyttelsesaktiviteten fra en enkelt ARTEX-controller, som CrowdStrike Intelligence kædede sammen med VAPOR PANDAs infrastruktur. Controlleren eksponerede med jævne mellemrum værktøjer, der blev brugt af trusselsaktøren, målfiler og agentudskrifter, hvilket pegede på flere operationer – kaldet opgaver i frameworket – rettet mod flere mål. Hos de ni organisationer, hvor aktivitet efter kompromittering blev bekræftet, fik trusselsaktøren adgang, installerede bagdøren BLOODALCHEMY og gik videre til spraying af legitimationsoplysninger, netværksscanning og rekognoscering. Trusselsaktøren udførte også password-spraying og scanning efter legitimationsoplysninger mod mindst 12 yderligere organisationer, heriblandt tænketanke med base i USA og offentlige myndigheder i Europa.

Mål på tværs af regioner og sektorer

CrowdStrike rapporterede, at VAPOR PANDA udførte omfattende indtrængninger i udenrigsministerierne i to lande med base i Latinamerika, sandsynligvis brød ind hos et tredje land og klargjorde målfiler til senere brug mod udenrigsministerier i Mellemamerika og Asien. Trusselsaktøren kompromitterede også et indenrigsministerium med base i Mellemøsten.

CrowdStrike oplyste, at én operation var rettet mod et enkelt europæisk land: landets udenrigsministerium, præsidentembedet og premierministerens kontor samt myndigheder inden for forsvar, retsvæsen, finans og efterretning. En anden operation var rettet mod 19 organisationer med base i USA på tværs af medicinal-, halvleder-, forsvars-, atomenergi- og finanssektorerne. Telekommunikationsudbydere i USA, Belgien og Filippinerne blev også kompromitteret.

Indblik i ARTEX-operationen

CrowdStrike oplyste, at VAPOR PANDA primært kørte ARTEX med DeepSeek-modellen, suppleret af en anden abonnementsbaseret kommerciel LLM, hvis brug CrowdStrike Intelligence ikke kunne bekræfte. Under én enkelt indtrængning behandlede trusselsaktørens planlægningsagenter omkring 1,4 milliarder inputtokens, et tal, som ifølge CrowdStrike peger på omfanget af den automatiserede aktivitet og antyder, at operationen som helhed omfattede et langt større forbrug.

Ifølge CrowdStrike kombinerer ARTEX en hovedagent med underordnede planlægnings- og arbejdsagenter, der deler en graf over fakta, resultater og mål, og fører hver operation fra den indledende adgang via rekognoscering af værter til lateral bevægelse. Frameworket holdt et menneske med i beslutningsprocessen. Genskabte udskrifter viste en operatør, der gav instruktioner på kinesisk, markeret med en etiket, der blev oversat til “menneskelig instruktion”, og tidsstemplet efter kinesisk standardtid. Operatøren bad agenterne oprette webskaller, udtrække legitimationsoplysninger til domæneadministratorer og kontrollere dækningen af endpointsensorer.

Rapporten beskrev agentens arbejde hos to medicinalvirksomheder med base i USA. Hos den første kombinerede agenten en usigneret SAML-erklæring (Security Assertion Markup Language) med en XXE-sårbarhed (XML external entity) for at få adgang til cloudtjenesten Instance Metadata Service. Dermed fik agenten en rolle, der kunne udføre administrationskommandoer på tusindvis af instanser, og kunne derfra hente en enterprise-administratorkonto. Hos den anden virksomhed installerede agenten webskaller, udnyttede en orkestreringstjeneste uden autentificering til at få root-adgang i et produktionscontainermiljø, læste adgangskoder fra Local Administrator Password Solution og misbrugte ressourcebaseret begrænset delegering til at udgive sig for at være en privilegeret konto.

Rapporten beskriver også en operation mod en græsk offentlig myndighed, hvor operatøren gav agenten en mappeeksport fra 2022 fra organisationens mailserver, som indeholdt autentificeringsnøgler, der sandsynligvis ikke var blevet roteret siden da. Agenten brugte nøglerne til at forfalske et administratortoken og læse mailbokse. Derefter fik agenten adgang til det interne netværk via VPN-konfigurationer hentet fra en brugers sendte mail og en VPN-klientnøgle, som operatøren sagde stammede fra et maildatabrud i maj 2024.

CrowdStrike oplyste, at agenterne på tværs af disse operationer forfulgte flere angrebsveje parallelt, på tværs af webapplikationer, cloudtjenester, containermiljøer, Active Directory samt mail- og VPN-infrastruktur, og skiftede til alternative metoder, når en angrebsvej slog fejl. Tidligere havde CrowdStrike observeret trusselsaktører bruge AI-agenter til at hjælpe med enkelte indtrængninger, men VAPOR PANDA gennemførte flere operationer på én gang og greb kun ind for at omdirigere agenterne ved beslutningspunkter. Operatøren lod også agenterne omgå endpointforsvar. Hos en global medicinalvirksomhed bad operatøren agenterne om at “finde Windows-maskiner i domænet uden Falcon ud fra tasklist og mappelister” ved hjælp af, hvad CrowdStrike identificerede som red-team-slang fra Folkerepublikken Kina for CrowdStrike Falcon-sensoren.

Udrulning af BLOODALCHEMY

CrowdStrike oplyste, at VAPOR PANDA indsatte BLOODALCHEMY hos et indenrigsministerium i Mellemøsten og et udenrigsministerium i Latinamerika. Bagdøren blev første gang offentligt dokumenteret i oktober 2023. Modstanderen omdøbte en legitim GameHook-binærfil til svchost.exe og brugte den til at indlæse en ondsindet DLL-fil, graphics-hook-filter64.dll, som derefter dekrypterede BLOODALCHEMY-nyttelastfilen graphics-hook_config.bin. Modstanderen placerede kopier af alle tre filer i åbne, eksponerede mapper. Implantatet indeholder en intern projektsti, D:\ProjectX\Merman_New\, som ifølge CrowdStrike sandsynligvis afspejler malwarets interne udviklingsnavn. BLOODALCHEMY kommunikerede med VAPOR PANDAs infrastruktur, herunder kommando- og kontrol-domænerne nginxmysql.com og sqlserver-sqlite.com. Ifølge rapporten optræder disse indikatorer ikke i tidligere offentlige ARTEX-rapporter.

Vurdering og anbefalede forsvarstiltag

CrowdStrike fastslog, at denne kampagne adskiller sig fra den ARTEX-aktivitet, som branchekilder har rapporteret under betegnelsen Storm-0940. Efter CrowdStrikes vurdering tyder det sandsynligvis på, at rammeværket hurtigt vinder udbredelse blandt flere Kina-tilknyttede modstandere. Siden 2021 har VAPOR PANDA hovedsageligt rettet sig mod myndigheder, tænketanke samt energi- og udvindingsvirksomheder i Europa, Nordamerika, Oceanien og Storbritannien for at opnå langvarig adgang. Rapporten beskrev denne kampagne som første gang, CrowdStrike havde set modstanderen bruge AI-drevne værktøjer til indtrængen, og som en markant udvidelse af måludvælgelsen til også at omfatte medicinal-, halvleder-, atomkraft- og forsvarsvirksomheder samt udenrigsministerier i nye regioner. Ifølge rapporten afspejler operationens afhængighed af DeepSeek og andre kommercielle modeller, der køres gennem et specialudviklet styringslag, sandsynligvis et bevidst forsøg på at opbygge en robust værktøjskæde på tværs af flere modeludbydere i stedet for at være afhængig af én enkelt tjeneste.

CrowdStrike vurderede, at Kina-tilknyttede modstandere med stor sandsynlighed fortsat vil tage agentbaserede rammeværker som ARTEX i brug i løbet af de næste 12 måneder, kombinere dem med kommercielt tilgængelige store sprogmodeller (LLM’er) og dermed gøre det muligt for små teams at opskalere indtrængen mod mange mål på én gang.

Rapporten anbefaler, at organisationer udskifter signeringsnøgler, præautentificeringsnøgler og tjenestelegitimationsoplysninger efter enhver mistanke om dataeksponering, herunder nøgler i historiske sikkerhedskopier og mappeeksporter; håndhæver validering af SAML-signaturer, kræver IMDSv2 og begrænser cloud-rollernes tilladelser til kommandoudførelse til det mindst nødvendige antal instanser; leder efter ARTEX-markører som artx- eller artex-strenge i kommandolinjeparametre, cloud-roller med præfikset artx og mappen C:\ProgramData\artx5v\; installerer sikkerhedsopdateringer på internetvendte apparater, især langlivede Linux-baserede servere; og udruller en agent til registrering og håndtering af slutpunkter i realtid i hele miljøet, også på servere, der anses for ikke at kunne nås fra det offentlige internet.