VAPOR PANDA, lié à la Chine, a compromis neuf cibles sur plus de 200 à l’aide d’agents d’IA

CrowdStrike a indiqué que VAPOR PANDA, un acteur malveillant lié à la Chine, avait utilisé le cadre d’intrusion ARTEX, piloté par l’IA et reposant principalement sur le grand modèle de langage DeepSeek, développé en Chine, ainsi que sur un second modèle commercial, pour cibler plus de 200 organisations dans au moins 14 pays sur une période de 11 jours débutant le 17 octobre 2026. CrowdStrike Intelligence a confirmé des activités post-exploitation au sein de neuf organisations dans un rapport publié le 29 octobre 2026.

CrowdStrike OverWatch a observé des activités d’exploitation provenant d’un seul contrôleur ARTEX, que CrowdStrike Intelligence a relié à l’infrastructure de VAPOR PANDA. Le contrôleur exposait périodiquement des outils de l’adversaire, des fichiers de cibles et des transcriptions d’agents, ce qui indiquait que plusieurs opérations — appelées « tâches » dans le cadre — étaient menées contre plusieurs cibles. Au sein des neuf organisations où des activités post-exploitation ont été confirmées, l’adversaire a obtenu un accès, déployé la porte dérobée BLOODALCHEMY, puis lancé des attaques par pulvérisation d’identifiants, des analyses de réseau et des opérations de reconnaissance. L’adversaire a également mené des attaques par pulvérisation de mots de passe et des analyses d’identifiants contre au moins 12 autres organisations, notamment des groupes de réflexion basés aux États-Unis et des entités gouvernementales en Europe.

Ciblage dans différentes régions et différents secteurs

CrowdStrike a indiqué que VAPOR PANDA avait mené des intrusions d’envergure au sein des ministères des Affaires étrangères de deux pays d’Amérique latine, probablement compromis un troisième et préparé des fichiers de cibles en vue d’opérations ultérieures contre des ministères des Affaires étrangères d’Amérique centrale et d’Asie. L’adversaire a également compromis un ministère de l’Intérieur basé au Moyen-Orient.

CrowdStrike a indiqué qu’une opération s’était concentrée sur un seul pays européen : son ministère des Affaires étrangères, sa présidence et le bureau du Premier ministre, ainsi que des entités chargées de la défense, de la justice, des finances et du renseignement. Une autre opération a visé 19 organisations basées aux États-Unis dans les secteurs pharmaceutique, des semi-conducteurs, de la défense, du nucléaire et de la finance. Des fournisseurs de télécommunications aux États-Unis, en Belgique et aux Philippines ont également été compromis.

Au cœur de l’opération ARTEX

CrowdStrike a indiqué que VAPOR PANDA avait utilisé ARTEX principalement avec le modèle DeepSeek, complété par un second grand modèle de langage commercial accessible par abonnement, dont CrowdStrike Intelligence n’a pas pu confirmer l’identité. Au cours d’une seule intrusion, les agents de planification de l’adversaire ont consommé environ 1,4 milliard de jetons d’entrée, un chiffre qui, selon CrowdStrike, témoigne de l’ampleur des activités automatisées et laisse penser que l’opération dans son ensemble en a consommé bien davantage.

Selon CrowdStrike, ARTEX associe un agent principal à des agents subordonnés chargés de la planification et de l’exécution, qui partagent un graphe de faits, de constats et d’objectifs. Ils font progresser chaque opération de l’accès initial à la reconnaissance des hôtes, puis au déplacement latéral. Le cadre maintenait un humain dans la boucle. Les transcriptions récupérées montrent un opérateur donnant des instructions en chinois, assorties d’une étiquette traduite par « instruction humaine » et horodatées à l’heure normale de Chine. Il demandait aux agents de créer des webshells, d’extraire les identifiants des administrateurs de domaine et de vérifier la couverture des capteurs des terminaux.

Le rapport détaille le travail de l’agent au sein de deux organisations pharmaceutiques basées aux États-Unis. Dans la première, l’agent a combiné une assertion Security Assertion Markup Language (SAML) non signée à une faille de type XML external entity (XXE) pour accéder au service de métadonnées des instances dans le cloud. Il a ainsi obtenu un rôle permettant d’exécuter des commandes d’administration sur des milliers d’instances, puis récupéré un compte d’administrateur d’entreprise. Dans la seconde, l’agent a installé des webshells, exploité un service d’orchestration non authentifié pour obtenir un accès root dans un environnement de conteneurs de production, lu des mots de passe de Local Administrator Password Solution et détourné la délégation contrainte basée sur les ressources pour usurper l’identité d’un compte privilégié.

Le rapport décrit également une opération visant une entité gouvernementale grecque. L’opérateur a fourni à l’agent un export d’annuaire de 2022 provenant du serveur de messagerie de l’organisation, qui contenait des clés d’authentification probablement jamais renouvelées depuis cette date. L’agent a utilisé ces clés pour forger un jeton d’administrateur et lire des boîtes de messagerie, puis a pénétré dans le réseau interne au moyen de configurations VPN récupérées dans les courriels envoyés par un utilisateur et d’une clé de client VPN qui, selon l’opérateur, provenait d’une fuite de courriels survenue en mai 2024.

CrowdStrike a indiqué que, dans le cadre de ces opérations, les agents avaient suivi plusieurs voies d’attaque en parallèle, impliquant des applications web, des services cloud, des environnements de conteneurs, Active Directory, ainsi que des infrastructures de messagerie et de VPN, et qu’ils étaient passés à d’autres méthodes lorsqu’une voie échouait. Alors qu’il avait précédemment observé des acteurs malveillants recourir à des agents d’IA pour faciliter des intrusions individuelles, VAPOR PANDA a mené plusieurs opérations simultanément, l’opérateur n’intervenant que pour réorienter les agents aux étapes où des décisions devaient être prises. L’opérateur a également demandé aux agents de contourner les défenses des terminaux. Dans une organisation pharmaceutique mondiale, il leur a ainsi demandé de « trouver dans le domaine les machines Windows dépourvues de Falcon, en se fondant sur tasklist et les listes de dossiers », en employant une expression que CrowdStrike a identifiée comme relevant de l’argot des équipes offensives de la République populaire de Chine pour désigner le capteur CrowdStrike Falcon.

Déploiement de BLOODALCHEMY

CrowdStrike a indiqué que VAPOR PANDA avait déployé BLOODALCHEMY, une porte dérobée documentée publiquement pour la première fois en octobre 2023, dans un ministère de l’Intérieur situé au Moyen-Orient et un ministère des Affaires étrangères situé en Amérique latine. L’adversaire a renommé un fichier binaire GameHook légitime en svchost.exe et l’a utilisé pour charger une DLL malveillante, graphics-hook-filter64.dll, qui a ensuite déchiffré le fichier contenant la charge utile de BLOODALCHEMY, graphics-hook_config.bin. Il a également placé des copies des trois fichiers dans des répertoires ouverts accessibles. L’implant contient un chemin de projet interne, D:\ProjectX\Merman_New\, qui, selon CrowdStrike, reflète probablement le nom utilisé en interne pour le développement du logiciel malveillant. BLOODALCHEMY communiquait avec l’infrastructure de VAPOR PANDA, notamment avec les domaines de commande et de contrôle nginxmysql.com et sqlserver-sqlite.com, des indicateurs qui, selon le rapport, n’apparaissent pas dans les précédents rapports publics sur ARTEX.

Évaluation et mesures de défense recommandées

CrowdStrike a déclaré que cette campagne se distingue des activités liées à ARTEX que des sources du secteur ont rapportées sous le nom de Storm-0940. Selon l’entreprise, cela indique probablement que ce cadre gagne rapidement en popularité auprès de plusieurs adversaires liés à la Chine. Depuis 2021, VAPOR PANDA cible principalement des organisations gouvernementales, des groupes de réflexion, des entreprises du secteur de l’énergie et des industries extractives en Europe, en Amérique du Nord, en Océanie et au Royaume-Uni, afin d’y établir un accès à long terme. Le rapport décrit cette campagne comme la première fois que CrowdStrike a observé l’adversaire utiliser des outils d’intrusion pilotés par l’IA, ainsi que comme une nette extension de son ciblage aux secteurs pharmaceutique, des semi-conducteurs, du nucléaire et de la défense, et aux ministères des Affaires étrangères de nouvelles régions. Selon le rapport, le recours de l’opération à DeepSeek et à d’autres modèles commerciaux, exécutés au moyen d’un environnement spécialement conçu à cet effet, reflète probablement une volonté délibérée de mettre en place une chaîne d’outils résiliente faisant appel à plusieurs fournisseurs de modèles plutôt que de dépendre d’un seul service.

CrowdStrike estime qu’il est très probable que les adversaires liés à la Chine continuent d’adopter des cadres agentiques tels qu’ARTEX au cours des 12 prochains mois, en les associant à des grands modèles de langage disponibles dans le commerce et en permettant à de petites équipes de mener des intrusions à grande échelle contre de nombreuses cibles simultanément.

Le rapport recommande aux organisations de renouveler les clés de signature, les clés de préauthentification et les identifiants de service après toute suspicion d’exposition de données, y compris les clés présentes dans d’anciennes sauvegardes et des exports d’annuaires ; d’imposer la validation des signatures SAML, d’exiger IMDSv2 et de limiter les autorisations d’exécution de commandes des rôles cloud aux seules instances strictement nécessaires ; de rechercher les marqueurs d’ARTEX, tels que les chaînes artx ou artex dans les paramètres de ligne de commande, les rôles cloud dont le nom commence par artx et le répertoire C:\ProgramData\artx5v\ ; d’appliquer des correctifs aux équipements exposés à Internet, en particulier aux serveurs Linux utilisés depuis longtemps ; et de déployer dans tout l’environnement un agent de détection et de réponse sur les terminaux en temps réel, y compris sur les serveurs considérés comme inaccessibles depuis l’Internet public.