Mit KI-Agenten griff die mit China verbundene Gruppe VAPOR PANDA neun von mehr als 200 Zielen an

CrowdStrike zufolge nutzte der mit China verbundene Angreifer VAPOR PANDA das KI-gestützte Framework ARTEX für Einbrüche. Es lief hauptsächlich auf dem in China entwickelten großen Sprachmodell DeepSeek sowie einem zweiten kommerziellen Modell und nahm innerhalb eines Zeitraums von elf Tagen ab dem 17. Oktober 2026 mehr als 200 Organisationen in mindestens 14 Ländern ins Visier. CrowdStrike Intelligence bestätigte bei neun Organisationen Aktivitäten nach der Kompromittierung in einem am 29. Oktober 2026 veröffentlichten Bericht.

CrowdStrike OverWatch beobachtete Exploit-Aktivitäten, die von einem einzelnen ARTEX-Controller ausgingen, den CrowdStrike Intelligence mit der Infrastruktur von VAPOR PANDA in Verbindung brachte. Der Controller legte regelmäßig Angriffswerkzeuge, Zieldateien und Transkripte der Agenten offen. Dies deutete auf mehrere laufende Einsätze hin – im Framework als Aufgaben bezeichnet –, die sich gegen verschiedene Ziele richteten. Bei den neun Organisationen, bei denen Aktivitäten nach der Kompromittierung bestätigt wurden, verschaffte sich der Angreifer Zugang, setzte die Hintertür BLOODALCHEMY ein und ging anschließend zu Passwort-Spraying, Netzwerkscans und Aufklärungsaktivitäten über. Darüber hinaus führte der Angreifer Passwort-Spraying und Scans nach Anmeldedaten gegen mindestens zwölf weitere Organisationen durch, darunter in den USA ansässige Denkfabriken und staatliche Einrichtungen in Europa.

Ziele in verschiedenen Regionen und Branchen

CrowdStrike berichtete, dass VAPOR PANDA umfangreiche Einbruchsversuche in den Außenministerien zweier lateinamerikanischer Länder durchführte, wahrscheinlich in ein drittes eindrang und Zieldateien für einen späteren Einsatz gegen Außenministerien in Mittelamerika und Asien bereitstellte. Der Angreifer kompromittierte außerdem ein Innenministerium im Nahen Osten.

CrowdStrike zufolge konzentrierte sich ein Einsatz auf ein einzelnes europäisches Land: auf dessen Außenministerium, Präsidialamt und Büro des Ministerpräsidenten sowie auf Einrichtungen aus den Bereichen Verteidigung, Justiz, Finanzen und Nachrichtendienste. Ein weiterer Einsatz richtete sich gegen 19 in den USA ansässige Organisationen aus den Branchen Pharma, Halbleiter, Verteidigung, Nukleartechnik und Finanzen. Auch Telekommunikationsanbieter in den USA, Belgien und den Philippinen wurden kompromittiert.

Einblicke in den ARTEX-Einsatz

CrowdStrike zufolge führte VAPOR PANDA ARTEX hauptsächlich mit dem Modell DeepSeek aus und ergänzte es durch ein zweites, abonnementbasiertes kommerzielles großes Sprachmodell, dessen Einsatz CrowdStrike Intelligence nicht bestätigen konnte. Bei einem einzelnen Einbruch verarbeiteten die Planungsagenten des Angreifers rund 1,4 Milliarden Eingabetoken. Laut CrowdStrike deutet diese Zahl auf das Ausmaß der automatisierten Aktivitäten hin und lässt darauf schließen, dass der gesamte Einsatz noch deutlich mehr Token verbrauchte.

CrowdStrike zufolge kombiniert ARTEX einen Hauptagenten mit untergeordneten Planungs- und Ausführungsagenten, die einen Graphen mit Fakten, Erkenntnissen und Zielen gemeinsam nutzen. So wird jeder Einsatz vom ersten Zugriff über die Aufklärung auf den kompromittierten Hosts bis hin zur lateralen Bewegung vorangetrieben. Bei dem Framework blieb ein Mensch in den Prozess eingebunden. Wiederhergestellte Transkripte zeigten, wie ein Operator auf Chinesisch Anweisungen erteilte, die mit einem als „menschliche Anweisung“ übersetzten Hinweis versehen und mit einem Zeitstempel der chinesischen Standardzeit versehen waren. Darin wies er die Agenten an, Web-Shells einzurichten, Anmeldedaten von Domänenadministratoren zu extrahieren und die Abdeckung durch Endgerätesensoren zu überprüfen.

Der Bericht beschreibt die Arbeit der Agenten bei zwei Pharmaunternehmen mit Sitz in den USA. Beim ersten kombinierten die Agenten eine nicht signierte Security Assertion Markup Language (SAML)-Assertion mit einer Sicherheitslücke durch eine externe XML-Entität (XXE), um den Metadatendienst der Cloud-Instanz zu erreichen. Dadurch erhielten sie eine Rolle, mit der sie Administrationsbefehle an Tausende von Instanzen senden konnten, und erlangten von dort aus ein Administratorkonto des Unternehmens. Beim zweiten Unternehmen installierten die Agenten Web-Shells, nutzten einen nicht authentifizierten Orchestrierungsdienst aus, um Root-Zugriff in einer Produktions-Containerumgebung zu erlangen, lasen Kennwörter der Local Administrator Password Solution aus und missbrauchten eine ressourcenbasierte eingeschränkte Delegierung, um sich als privilegiertes Konto auszugeben.

Der Bericht beschreibt außerdem einen Einsatz gegen eine griechische staatliche Einrichtung. Dabei übergab der Operator dem Agenten einen Verzeichnisexport aus dem Jahr 2022 vom Mailserver der Organisation, der Authentifizierungsschlüssel enthielt, die seitdem wahrscheinlich nie erneuert worden waren. Der Agent verwendete diese Schlüssel, um ein Administratortoken zu fälschen und Postfächer auszulesen. Anschließend verschaffte er sich Zugang zum internen Netzwerk über VPN-Konfigurationen aus den gesendeten E-Mails eines Nutzers sowie über einen VPN-Clients-Schlüssel, der laut Aussage des Operators aus einem E-Mail-Datenleck vom Mai 2024 stammte.

CrowdStrike zufolge verfolgten die Agenten bei diesen Einsätzen mehrere Angriffswege parallel, darunter über Webanwendungen, Cloud-Dienste, Containerumgebungen, Active Directory sowie Mail- und VPN-Infrastruktur. Scheiterte ein Weg, wichen sie auf andere Ansätze aus. Während CrowdStrike zuvor beobachtet hatte, dass Angreifer KI-Agenten zur Unterstützung einzelner Einbruchsversuche einsetzten, führte VAPOR PANDA mehrere Einsätze gleichzeitig durch und griff nur ein, um die Agenten an Entscheidungspunkten neu auszurichten. Der Operator ließ die Agenten außerdem Endgeräte-Schutzmaßnahmen umgehen: Bei einem globalen Pharmaunternehmen wies er sie an, „Windows-Rechner in der Domäne ohne Falcon zu finden – anhand von tasklist und Verzeichnisauflistungen“. CrowdStrike zufolge verwendete er dabei Red-Team-Slang aus der Volksrepublik China für den CrowdStrike Falcon-Sensor.

Einsatz von BLOODALCHEMY

CrowdStrike berichtete, dass VAPOR PANDA in einem Innenministerium im Nahen Osten und einem Außenministerium in Lateinamerika BLOODALCHEMY einsetzte, eine Hintertür, die erstmals im Oktober 2023 öffentlich dokumentiert wurde. Der Angreifer benannte eine legitime GameHook-Binärdatei in svchost.exe um und nutzte sie, um eine schädliche DLL namens graphics-hook-filter64.dll zu laden. Diese entschlüsselte ihrerseits die Nutzlastdatei von BLOODALCHEMY, graphics-hook_config.bin. Kopien aller drei Dateien legte der Angreifer in ungeschützten, öffentlich zugänglichen Verzeichnissen ab. Das Implantat enthält den internen Projektpfad D:\ProjectX\Merman_New\, der laut CrowdStrike wahrscheinlich den internen Entwicklungsnamen der Schadsoftware widerspiegelt. BLOODALCHEMY kommunizierte mit der Infrastruktur von VAPOR PANDA, darunter den Command-and-Control-Domains nginxmysql.com und sqlserver-sqlite.com. Laut dem Bericht tauchen diese Indikatoren in früheren öffentlichen Berichten zu ARTEX nicht auf.

Bewertung und empfohlene Schutzmaßnahmen

CrowdStrike erklärte, diese Kampagne unterscheide sich von den ARTEX-Aktivitäten, über die Branchenquellen unter der Bezeichnung Storm-0940 berichtet hätten. Das deute seiner Einschätzung nach wahrscheinlich darauf hin, dass das Framework bei mehreren mit China verbundenen Angreifern rasch an Beliebtheit gewinne. Seit 2021 nimmt VAPOR PANDA vor allem Regierungsorganisationen, Denkfabriken, Energieunternehmen und Organisationen der Rohstoffgewinnung in Europa, Nordamerika, Ozeanien und dem Vereinigten Königreich ins Visier, um sich dort langfristig Zugang zu verschaffen. Dem Bericht zufolge war dies die erste Kampagne, bei der CrowdStrike den Einsatz KI-gesteuerter Werkzeuge für Eindringoperationen durch den Angreifer beobachtete. Zugleich weitete dieser seine Ziele deutlich auf Pharma-, Halbleiter-, Nuklear- und Verteidigungsorganisationen sowie Außenministerien in neuen Regionen aus. Laut dem Bericht deutet der Einsatz von DeepSeek und weiteren kommerziellen Modellen, die über eine eigens entwickelte Orchestrierungsumgebung ausgeführt werden, wahrscheinlich auf den bewussten Versuch hin, eine widerstandsfähige Werkzeugkette über mehrere Modellanbieter hinweg aufzubauen, statt sich auf einen einzigen Dienst zu verlassen.

CrowdStrike schätzte, dass mit China verbundene Angreifer in den kommenden 12 Monaten mit hoher Wahrscheinlichkeit weiterhin agentenbasierte Frameworks wie ARTEX übernehmen und mit kommerziell verfügbaren LLMs kombinieren werden. So können kleine Teams Eindringoperationen gleichzeitig auf zahlreiche Ziele ausweiten.

Der Bericht empfiehlt Organisationen, nach jedem vermuteten Datenabfluss Signaturschlüssel, Vorabauthentifizierungsschlüssel und Dienstanmeldedaten zu erneuern – einschließlich der Schlüssel in historischen Sicherungskopien und Verzeichnisexporten; die Validierung von SAML-Signaturen durchzusetzen, IMDSv2 vorzuschreiben und die Berechtigungen von Cloud-Rollen zur Befehlsausführung auf die unbedingt erforderlichen Instanzen zu beschränken; nach ARTEX-Indikatoren zu suchen, etwa nach Zeichenfolgen wie artx oder artex in Befehlszeilenparametern, nach Cloud-Rollen mit dem Präfix artx und nach dem Verzeichnis C:\ProgramData\artx5v\; internetseitig erreichbare Appliances zu patchen, insbesondere Linux-basierte Server, die schon lange in Betrieb sind; und in der gesamten Umgebung einen Echtzeit-Agenten für Endpunkterkennung und -reaktion einzusetzen, auch auf Servern, die als vom öffentlichen Internet aus nicht erreichbar gelten.