VAPOR PANDA, legato alla Cina, ha compromesso nove degli oltre 200 obiettivi con agenti IA

CrowdStrike ha dichiarato che l’avversario VAPOR PANDA, legato alla Cina, ha utilizzato il framework di intrusione ARTEX basato sull’intelligenza artificiale, eseguito principalmente sul modello linguistico di grandi dimensioni DeepSeek, sviluppato in Cina, e su un secondo modello commerciale, per prendere di mira più di 200 organizzazioni in almeno 14 Paesi nell’arco di 11 giorni, a partire dal 17 ottobre 2026. CrowdStrike Intelligence ha confermato attività successive allo sfruttamento presso nove organizzazioni in un rapporto pubblicato il 29 ottobre 2026.

CrowdStrike OverWatch ha rilevato attività di sfruttamento provenienti da un unico controller ARTEX, che CrowdStrike Intelligence ha collegato all’infrastruttura di VAPOR PANDA. Il controller esponeva periodicamente strumenti dell’avversario, file degli obiettivi e trascrizioni degli agenti, indicando la presenza di più operazioni — chiamate attività all’interno del framework — condotte contro diversi obiettivi. Nelle nove organizzazioni in cui è stata confermata attività successiva allo sfruttamento, l’avversario ha ottenuto l’accesso, distribuito la backdoor BLOODALCHEMY e avviato attività di attacco tramite password, scansione della rete e ricognizione. L’avversario ha inoltre condotto attività di attacco tramite password e scansione delle credenziali contro almeno altre 12 organizzazioni, tra cui centri studi con sede negli Stati Uniti ed enti governativi in Europa.

Attacchi in diverse regioni e settori

CrowdStrike ha riferito che VAPOR PANDA ha condotto intrusioni su vasta scala nei ministeri degli Esteri di due Paesi dell’America Latina, probabilmente ha violato un terzo Paese e ha predisposto file sugli obiettivi per un uso successivo contro ministeri degli Esteri dell’America centrale e dell’Asia. L’avversario ha inoltre compromesso un ministero dell’Interno in Medio Oriente.

CrowdStrike ha dichiarato che una delle operazioni si è concentrata su un singolo Paese europeo: il ministero degli Esteri, la presidenza e l’ufficio del primo ministro, oltre a enti della difesa, della giustizia, delle finanze e dell’intelligence. Un’altra operazione ha preso di mira 19 organizzazioni con sede negli Stati Uniti nei settori farmaceutico, dei semiconduttori, della difesa, nucleare e finanziario. Sono stati compromessi anche fornitori di telecomunicazioni negli Stati Uniti, in Belgio e nelle Filippine.

Come si è svolta l’operazione ARTEX

CrowdStrike ha dichiarato che VAPOR PANDA ha eseguito ARTEX principalmente con il modello DeepSeek, affiancato da un secondo modello linguistico di grandi dimensioni commerciale, disponibile tramite abbonamento, che CrowdStrike Intelligence non è riuscita a identificare. Nel corso di una singola intrusione, gli agenti di pianificazione dell’avversario hanno elaborato circa 1,4 miliardi di token in ingresso: secondo CrowdStrike, una cifra che dà un’idea della portata delle attività automatizzate e indica che l’operazione nel suo complesso ne ha elaborati molti di più.

Secondo CrowdStrike, ARTEX affianca a un agente principale agenti subordinati di pianificazione e di esecuzione, che condividono un grafo di fatti, risultati e obiettivi e guidano ogni operazione dall’accesso iniziale, attraverso la ricognizione degli host, fino allo spostamento laterale. Il framework prevedeva la supervisione umana. Le trascrizioni recuperate mostrano un operatore che impartisce istruzioni in cinese, contrassegnate da un’etichetta traducibile come «istruzione umana» e accompagnate da un orario nel fuso standard cinese: agli agenti veniva chiesto di creare web shell, estrarre credenziali di amministratore di dominio e verificare la copertura dei sensori sugli endpoint.

Il rapporto descrive nel dettaglio il lavoro degli agenti presso due organizzazioni farmaceutiche con sede negli Stati Uniti. Nella prima, l’agente ha combinato un’asserzione non firmata del Security Assertion Markup Language (SAML) con una vulnerabilità di tipo XML external entity (XXE) per raggiungere il servizio cloud Instance Metadata Service. Ha così ottenuto un ruolo che poteva impartire comandi di amministrazione a migliaia di istanze e, da lì, ha recuperato un account di amministratore aziendale. Nella seconda, l’agente ha installato web shell, ha sfruttato un servizio di orchestrazione privo di autenticazione per ottenere l’accesso root in un ambiente di container di produzione, ha letto le password della Local Administrator Password Solution e ha abusato della delega vincolata basata sulle risorse per impersonare un account privilegiato.

Il rapporto descrive anche un’operazione contro un ente governativo greco, durante la quale l’operatore ha fornito all’agente un’esportazione del 2022 delle directory del server di posta dell’organizzazione, contenente chiavi di autenticazione che probabilmente non erano mai state ruotate da allora. L’agente ha usato quelle chiavi per falsificare un token di amministratore e leggere le caselle di posta; è poi entrato nella rete interna tramite configurazioni VPN ricavate dalla posta inviata da un utente e una chiave del client VPN che, secondo l’operatore, proveniva da una fuga di dati via e-mail avvenuta nel maggio 2024.

CrowdStrike ha dichiarato che, nel complesso, gli agenti hanno seguito in parallelo diversi percorsi di attacco, spaziando tra applicazioni web, servizi cloud, ambienti di container, Active Directory e infrastrutture di posta e VPN, e sono passati ad approcci alternativi quando un percorso non ha funzionato. In precedenza CrowdStrike aveva osservato attori delle minacce usare agenti IA per supportare singole intrusioni; VAPOR PANDA, invece, ha condotto più operazioni contemporaneamente, intervenendo solo per reindirizzare gli agenti nei momenti decisionali. L’operatore ha inoltre fatto eseguire agli agenti attività per eludere le difese sugli endpoint: presso un’organizzazione farmaceutica globale, ha chiesto loro di «trovare nel dominio le macchine Windows senza Falcon, basandosi sull’elenco dei processi e sui contenuti delle cartelle», usando quello che CrowdStrike ha identificato come gergo delle squadre di red team della Repubblica Popolare Cinese per indicare il sensore CrowdStrike Falcon.

Distribuzione di BLOODALCHEMY

CrowdStrike ha riferito che VAPOR PANDA ha distribuito BLOODALCHEMY, una backdoor documentata pubblicamente per la prima volta nell’ottobre 2023, presso un ministero dell’Interno con sede in Medio Oriente e un ministero degli Esteri con sede in America Latina. L’avversario ha rinominato un file binario legittimo di GameHook come svchost.exe e lo ha usato per caricare una DLL malevola, graphics-hook-filter64.dll, che a sua volta ha decrittato il file del payload di BLOODALCHEMY, graphics-hook_config.bin. Ha inoltre depositato copie di tutti e tre i file in directory aperte esposte. L’impianto contiene un percorso di progetto interno, D:\ProjectX\Merman_New\, che, secondo CrowdStrike, probabilmente riflette il nome usato internamente per lo sviluppo del malware. BLOODALCHEMY comunicava con l’infrastruttura di VAPOR PANDA, compresi i domini di comando e controllo nginxmysql.com e sqlserver-sqlite.com, indicatori che, secondo il rapporto, non compaiono nelle precedenti segnalazioni pubbliche su ARTEX.

Valutazione e difese consigliate

CrowdStrike ha dichiarato che questa campagna si distingue dalle attività ARTEX segnalate da fonti del settore con la denominazione Storm-0940, circostanza che, a suo avviso, probabilmente indica che il framework sta guadagnando rapidamente popolarità tra diversi avversari legati alla Cina. Dal 2021, VAPOR PANDA ha preso di mira soprattutto enti governativi, think tank e organizzazioni dei settori energetico ed estrattivo in Europa, Nord America, Oceania e Regno Unito, con l’obiettivo di ottenere un accesso a lungo termine. Il rapporto ha descritto questa campagna come la prima occasione in cui CrowdStrike ha osservato l’avversario usare strumenti d’intrusione basati sull’IA e come un notevole ampliamento dei suoi obiettivi, che ora includono organizzazioni farmaceutiche, dei semiconduttori, nucleari e della difesa, nonché ministeri degli Esteri in nuove regioni. Secondo il rapporto, il ricorso dell’operazione a DeepSeek e ad altri modelli commerciali, utilizzati tramite un sistema appositamente sviluppato, probabilmente riflette un tentativo deliberato di realizzare una catena di strumenti resiliente basata su diversi fornitori di modelli, anziché dipendere da un unico servizio.

CrowdStrike ha valutato come altamente probabile che, nei prossimi 12 mesi, gli avversari legati alla Cina continuino ad adottare framework agentici come ARTEX, abbinandoli a LLM disponibili in commercio e consentendo a piccoli team di estendere le intrusioni a molti obiettivi contemporaneamente.

Il rapporto raccomanda alle organizzazioni di ruotare le chiavi di firma, le chiavi di preautenticazione e le credenziali di servizio dopo qualsiasi sospetta esposizione di dati, comprese le chiavi presenti nei backup storici e nelle esportazioni di directory; applicare la convalida delle firme SAML, richiedere IMDSv2 e limitare le autorizzazioni di esecuzione dei comandi dei ruoli cloud alle sole istanze strettamente necessarie; cercare indicatori di ARTEX, come le stringhe artx o artex nei parametri della riga di comando, i ruoli cloud con prefisso artx e la directory C:\ProgramData\artx5v\; applicare le patch agli apparati esposti a Internet, soprattutto ai server basati su Linux in servizio da lungo tempo; e distribuire nell’intero ambiente un agente di rilevamento e risposta degli endpoint in tempo reale, compresi i server considerati irraggiungibili da Internet pubblico.