VAPOR PANDA, vinculado a China, vulneró nueve de más de 200 objetivos con agentes de IA

CrowdStrike afirmó que el adversario VAPOR PANDA, vinculado a China, utilizó el marco de intrusión ARTEX, impulsado por IA y ejecutado principalmente con el modelo de lenguaje grande DeepSeek, desarrollado en China, y un segundo modelo comercial, para atacar a más de 200 organizaciones de al menos 14 países durante un período de 11 días que comenzó el 17 de octubre de 2026. CrowdStrike Intelligence confirmó actividad posterior a la explotación en nueve organizaciones en un informe publicado el 29 de octubre de 2026.

CrowdStrike OverWatch observó que la actividad de explotación provenía de un único controlador ARTEX, que CrowdStrike Intelligence vinculó con la infraestructura de VAPOR PANDA. El controlador exponía periódicamente herramientas del adversario, archivos de objetivos y transcripciones de agentes, lo que apuntaba a varias operaciones —denominadas tareas dentro del marco— dirigidas contra múltiples objetivos. En las nueve organizaciones donde se confirmó actividad posterior a la explotación, el adversario obtuvo acceso, desplegó la puerta trasera BLOODALCHEMY y pasó a realizar ataques de pulverización de credenciales, escaneo de redes y reconocimiento. El adversario también llevó a cabo ataques de pulverización de contraseñas y actividades de escaneo de credenciales contra al menos otras 12 organizaciones, entre ellas centros de investigación y entidades gubernamentales de Europa con sede en Estados Unidos.

Ataques en distintas regiones y sectores

CrowdStrike informó que VAPOR PANDA llevó a cabo intrusiones extensas en los ministerios de Asuntos Exteriores de dos países de América Latina, probablemente vulneró un tercero y preparó archivos de objetivos para utilizarlos posteriormente contra ministerios de Asuntos Exteriores de América Central y Asia. El adversario también comprometió un ministerio del Interior con sede en Oriente Medio.

CrowdStrike afirmó que una de las operaciones se centró en un solo país europeo: su ministerio de Asuntos Exteriores, la presidencia y la oficina del primer ministro, además de entidades de defensa, justicia, finanzas e inteligencia. Otra operación tuvo como objetivo a 19 organizaciones con sede en Estados Unidos de los sectores farmacéutico, de semiconductores, de defensa, nuclear y financiero. También se vieron comprometidos proveedores de telecomunicaciones de Estados Unidos, Bélgica y Filipinas.

Dentro de la operación ARTEX

CrowdStrike afirmó que VAPOR PANDA ejecutó ARTEX principalmente con el modelo DeepSeek, complementado por un segundo modelo comercial de lenguaje grande (LLM) de suscripción que CrowdStrike Intelligence no pudo confirmar. En una sola intrusión, los agentes de planificación del adversario consumieron aproximadamente 1.400 millones de tokens de entrada, una cifra que, según CrowdStrike, da cuenta de la escala de la actividad automatizada e indica que la operación en su conjunto consumió muchos más.

Según CrowdStrike, ARTEX combina un agente principal con agentes subordinados de planificación y ejecución que comparten un grafo de hechos, hallazgos y objetivos, y hacen avanzar cada operación desde el acceso inicial hasta el movimiento lateral, pasando por el reconocimiento de los equipos. El marco mantenía a una persona en el circuito. Las transcripciones recuperadas mostraron a un operador que daba instrucciones en chino, identificadas con una etiqueta traducida como «instrucción humana» y marcadas con la hora estándar de China, para indicar a los agentes que crearan web shells, extrajeran credenciales de administrador del dominio y comprobaran la cobertura de los sensores de los endpoints.

El informe detalló el trabajo de los agentes en dos organizaciones farmacéuticas con sede en Estados Unidos. En la primera, el agente combinó una aserción sin firmar de Security Assertion Markup Language (SAML) con una vulnerabilidad de entidad externa XML (XXE) para acceder al servicio Instance Metadata Service en la nube, obtener un rol que podía emitir comandos de administración a miles de instancias y, desde allí, recuperar una cuenta de administrador empresarial. En la segunda, el agente instaló web shells, aprovechó un servicio de orquestación sin autenticación para obtener acceso raíz dentro de un entorno de contenedores de producción, leyó contraseñas de Local Administrator Password Solution y utilizó indebidamente la delegación restringida basada en recursos para suplantar una cuenta privilegiada.

El informe también describe una operación contra una entidad gubernamental griega, en la que el operador proporcionó al agente una exportación del directorio de 2022 del servidor de correo de la organización, que contenía claves de autenticación que probablemente no se habían rotado desde entonces. El agente utilizó esas claves para falsificar un token de administrador y leer buzones; después accedió a la red interna mediante configuraciones de VPN obtenidas del correo enviado por un usuario y una clave de cliente VPN que, según el operador, procedía de una filtración de correos electrónicos de mayo de 2024.

CrowdStrike afirmó que, en estas operaciones, los agentes siguieron en paralelo varias vías de ataque que abarcaban aplicaciones web, servicios en la nube, entornos de contenedores, Active Directory y la infraestructura de correo y VPN, y recurrieron a métodos alternativos cuando una vía fallaba. Mientras que anteriormente había observado a actores de amenazas utilizar agentes de IA para ayudar en intrusiones individuales, VAPOR PANDA llevó a cabo varias operaciones a la vez e intervino únicamente para redirigir a los agentes en puntos de decisión. El operador también hizo que los agentes eludieran las defensas de los endpoints: en una organización farmacéutica global, les indicó que «buscaran máquinas Windows del dominio sin Falcon, a juzgar por tasklist y los listados de carpetas», usando lo que CrowdStrike identificó como jerga de los equipos rojos de la República Popular China para referirse al sensor CrowdStrike Falcon.

Despliegue de BLOODALCHEMY

CrowdStrike informó que VAPOR PANDA desplegó BLOODALCHEMY, una puerta trasera documentada públicamente por primera vez en octubre de 2023, en un ministerio del Interior ubicado en Oriente Medio y en un ministerio de Asuntos Exteriores ubicado en América Latina. El adversario cambió el nombre de un binario legítimo de GameHook a svchost.exe y lo utilizó para cargar una DLL maliciosa, graphics-hook-filter64.dll, que a su vez descifró el archivo de carga útil de BLOODALCHEMY, graphics-hook_config.bin. Además, dejó copias de los tres archivos en directorios abiertos expuestos. El implante contiene una ruta de proyecto interna, D:\ProjectX\Merman_New\, que, según CrowdStrike, probablemente refleja el nombre que se utilizó internamente durante el desarrollo del malware. BLOODALCHEMY se comunicó con la infraestructura de VAPOR PANDA, incluidos los dominios de comando y control nginxmysql.com y sqlserver-sqlite.com, indicadores que, según el informe, no aparecen en los informes públicos anteriores sobre ARTEX.

Evaluación y defensas recomendadas

CrowdStrike afirmó que esta campaña se diferencia de la actividad de ARTEX que fuentes del sector atribuyeron a Storm-0940. A juicio de la empresa, esto probablemente indica que el marco está ganando popularidad rápidamente entre varios adversarios vinculados a China. Desde 2021, VAPOR PANDA se ha dirigido principalmente a organizaciones gubernamentales, centros de análisis, entidades del sector energético y empresas extractivas de Europa, América del Norte, Oceanía y el Reino Unido, con el objetivo de establecer acceso a largo plazo. El informe describió esta campaña como la primera ocasión en que CrowdStrike había visto al adversario utilizar herramientas de intrusión impulsadas por IA, así como una notable ampliación de sus objetivos para incluir organizaciones farmacéuticas, de semiconductores, nucleares y de defensa, además de ministerios de Asuntos Exteriores en nuevas regiones. Según el informe, la dependencia de DeepSeek y de otros modelos comerciales, ejecutados mediante un entorno diseñado específicamente para este fin, probablemente refleje un intento deliberado de crear una cadena de herramientas resiliente que funcione con varios proveedores de modelos, en lugar de depender de un único servicio.

CrowdStrike evaluó que es muy probable que los adversarios vinculados a China sigan adoptando marcos agénticos como ARTEX durante los próximos 12 meses, combinándolos con modelos de lenguaje de gran tamaño disponibles comercialmente y permitiendo que equipos pequeños amplíen las intrusiones para atacar muchos objetivos a la vez.

El informe recomienda que las organizaciones roten las claves de firma, las claves de preautenticación y las credenciales de servicio después de cualquier sospecha de exposición de datos, incluidas las claves almacenadas en copias de seguridad históricas y exportaciones de directorios; apliquen la validación de firmas SAML, exijan IMDSv2 y limiten los permisos de ejecución de comandos de los roles en la nube a las instancias estrictamente necesarias; busquen indicadores de ARTEX, como las cadenas artx o artex en los parámetros de la línea de comandos, los roles en la nube con el prefijo artx y el directorio C:\ProgramData\artx5v\; instalen parches en los dispositivos expuestos a Internet, especialmente en los servidores basados en Linux que llevan mucho tiempo en servicio; e implementen en todo el entorno un agente de detección y respuesta en endpoints en tiempo real, incluidos los servidores que se consideran inaccesibles desde la Internet pública.