중국 연계 VAPOR PANDA, AI 에이전트로 200곳이 넘는 표적 중 9곳 침해

CrowdStrike에 따르면 중국과 연계된 공격자 VAPOR PANDA는 중국에서 개발한 대규모 언어 모델 DeepSeek와 두 번째 상용 모델을 주로 활용하는 AI 기반 ARTEX 침입 프레임워크를 사용해 2026년 10월 17일부터 11일 동안 최소 14개국에서 200곳이 넘는 조직을 표적으로 삼았다. CrowdStrike Intelligence는 2026년 10월 29일 발표된 보고서에서 9개 조직에서 침입 후 활동이 있었음을 확인했다.

CrowdStrike OverWatch는 단일 ARTEX 컨트롤러에서 비롯된 침입 활동을 포착했으며, CrowdStrike Intelligence는 이 컨트롤러를 VAPOR PANDA의 인프라와 연결했다. 컨트롤러는 공격 도구와 표적 파일, 에이전트 대화 기록을 주기적으로 노출했으며, 이는 프레임워크에서 ‘작업’이라고 부르는 여러 침투 활동이 여러 표적을 상대로 진행되고 있음을 시사했다. 침입 후 활동이 확인된 9개 조직에서 공격자는 접근 권한을 얻고 BLOODALCHEMY 백도어를 배포한 뒤, 자격 증명 대입 공격과 네트워크 스캔, 정찰을 수행했다. 공격자는 미국에 기반을 둔 싱크탱크와 유럽의 정부 기관 등을 포함해 최소 12개 조직을 상대로도 비밀번호 대입 공격과 자격 증명 스캔을 벌였다.

지역과 업종을 가로지른 표적 공격

CrowdStrike는 VAPOR PANDA가 라틴아메리카에 기반을 둔 두 국가의 외교부를 대상으로 광범위한 침입을 벌였으며, 세 번째 국가도 침해했을 가능성이 높고, 중앙아메리카와 아시아 외교부를 나중에 공격하기 위한 표적 파일도 준비했다고 보고했다. 공격자는 중동에 기반을 둔 내무부도 침해했다.

CrowdStrike에 따르면 한 차례의 침투 활동은 유럽의 한 국가에 집중됐다. 표적에는 해당 국가의 외교부와 대통령실, 총리실뿐 아니라 국방·사법·재무·정보 기관도 포함됐다. 또 다른 침투 활동에서는 미국에 기반을 둔 제약·반도체·방위·원자력·금융 분야의 19개 조직이 공격 대상이 됐다. 미국과 벨기에, 필리핀의 통신 사업자도 침해됐다.

ARTEX 작전의 내부 구조

CrowdStrike에 따르면 VAPOR PANDA는 ARTEX를 주로 DeepSeek 모델로 구동하고, CrowdStrike Intelligence가 확인하지 못한 구독형 상용 대규모 언어 모델을 추가로 사용했다. 단 한 차례의 침입에서 공격자의 계획 에이전트는 약 14억 개의 입력 토큰을 처리했다. CrowdStrike는 이 수치가 자동화된 활동의 규모를 보여 주며, 작전 전체에서 처리한 토큰은 이보다 훨씬 많았을 것으로 추정된다고 밝혔다.

CrowdStrike에 따르면 ARTEX는 주 에이전트와 이에 종속된 계획 에이전트 및 작업 에이전트를 짝지어 운용한다. 이 에이전트들은 사실과 조사 결과, 목표를 그래프로 공유하며 각 침투 활동을 최초 접근부터 호스트 정찰과 측면 이동까지 진행한다. 이 프레임워크에는 사람이 계속 개입했다. 복구된 대화 기록을 보면 운영자는 중국어로 지시를 내렸고, 해당 지시에는 ‘사람의 지시’로 번역되는 라벨이 붙어 있었으며 중국 표준시 기준 시각이 기록돼 있었다. 운영자는 에이전트에 웹 셸 생성, 도메인 관리자 자격 증명 추출, 엔드포인트 센서 적용 범위 확인을 지시했다.

보고서는 미국에 기반을 둔 제약 회사 두 곳에서 에이전트가 수행한 작업을 상세히 설명했다. 첫 번째 회사에서 에이전트는 서명되지 않은 Security Assertion Markup Language (SAML) 어설션과 XML 외부 엔터티(XXE) 취약점을 결합해 클라우드 인스턴스 메타데이터 서비스에 접근했다. 이를 통해 수천 개 인스턴스에 관리 명령을 내릴 수 있는 역할을 얻었고, 이어 기업 관리자 계정을 찾아냈다. 두 번째 회사에서는 에이전트가 웹 셸을 심고 인증이 필요 없는 오케스트레이션 서비스를 악용해 프로덕션 컨테이너 환경에서 루트 권한을 얻었다. 또한 로컬 관리자 암호 솔루션(Local Administrator Password Solution) 암호를 읽고, 리소스 기반 제한 위임을 악용해 권한이 높은 계정을 가장했다.

보고서는 그리스 정부 기관을 겨냥한 침투 활동도 설명한다. 이 과정에서 운영자는 해당 기관의 메일 서버에서 추출한 2022년 디렉터리 내보내기 파일을 에이전트에 제공했으며, 여기에는 그 이후 한 번도 교체되지 않았을 가능성이 높은 인증 키가 들어 있었다. 에이전트는 이 키를 사용해 관리자 토큰을 위조하고 메일함을 열람했다. 이어 사용자가 보낸 메일에서 확보한 VPN 설정과 운영자가 2024년 5월 이메일 유출에서 얻었다고 말한 VPN 클라이언트 키를 이용해 내부 네트워크에 침투했다.

CrowdStrike에 따르면 에이전트는 이들 침투 활동 전반에서 웹 애플리케이션과 클라우드 서비스, 컨테이너 환경, Active Directory, 메일 및 VPN 인프라를 아우르는 여러 공격 경로를 동시에 시도했고, 한 경로가 실패하면 다른 방법으로 전환했다. CrowdStrike는 이전에도 위협 행위자가 개별 침입을 지원하는 데 AI 에이전트를 사용하는 사례를 관찰했지만, VAPOR PANDA는 여러 침투 활동을 동시에 진행하고 의사 결정이 필요한 시점에만 개입해 에이전트의 방향을 바꿨다. 운영자는 에이전트가 엔드포인트 방어를 회피하도록 하기도 했다. 한 글로벌 제약 회사에서 운영자는 에이전트에 “tasklist와 폴더 목록을 보고 Falcon이 없는 도메인 내 Windows 컴퓨터를 찾아라”라고 지시했다. CrowdStrike는 이 표현을 CrowdStrike Falcon 센서를 가리키는 중국 인민해방군 사이버 레드팀 은어라고 밝혔다.

BLOODALCHEMY 배포

CrowdStrike는 중동에 있는 내무부와 라틴아메리카에 있는 외교부에서 VAPOR PANDA가 BLOODALCHEMY를 배포했다고 보고했다. BLOODALCHEMY는 2023년 10월 처음 공개적으로 문서화된 백도어다. 공격자는 정상적인 GameHook 바이너리의 이름을 svchost.exe로 바꿔 악성 DLL인 graphics-hook-filter64.dll을 로드하는 데 사용했다. 이 DLL은 다시 BLOODALCHEMY 페이로드 파일인 graphics-hook_config.bin을 복호화했으며, 공격자는 세 파일의 복사본을 모두 외부에 노출된 공개 디렉터리에 배치했다. 이 임플란트에는 내부 프로젝트 경로인 D:\ProjectX\Merman_New\가 포함되어 있는데, CrowdStrike는 이 경로가 악성코드의 사내 개발명을 반영할 가능성이 있다고 밝혔다. BLOODALCHEMY는 nginxmysql.com과 sqlserver-sqlite.com이라는 명령·제어 도메인을 비롯한 VAPOR PANDA 인프라와 통신했다. 보고서에 따르면 이 도메인들은 이전의 공개 ARTEX 보고서에는 등장하지 않는다.

평가 및 권장 방어 조치

CrowdStrike는 이번 캠페인이 업계 자료에서 Storm-0940이라는 명칭으로 보고된 ARTEX 활동과는 별개라고 밝혔다. CrowdStrike는 이를 통해 해당 프레임워크가 중국과 연계된 여러 공격자 사이에서 빠르게 인기를 얻고 있을 가능성이 높다고 봤다. 2021년 이후 VAPOR PANDA는 장기적인 접근 권한을 확보하기 위해 주로 유럽, 북미, 오세아니아, 영국의 정부 기관, 싱크탱크, 에너지 및 채굴·자원개발 부문 조직을 표적으로 삼아 왔다. 보고서는 이번 캠페인을 CrowdStrike가 해당 공격자가 AI 기반 침입 도구를 사용하는 것을 처음 확인한 사례로 설명했으며, 새로운 지역의 제약, 반도체, 원자력, 방위산업 조직과 외교부까지 표적 범위를 눈에 띄게 확대한 사례라고 덧붙였다. 보고서에 따르면 DeepSeek와 추가 상용 모델을 전용 하네스를 통해 사용하는 것은 단일 서비스에 의존하는 대신 여러 모델 제공업체를 아우르는 복원력 있는 도구 체계를 구축하려는 의도적인 시도일 가능성이 높다.

CrowdStrike는 향후 12개월 동안 중국과 연계된 공격자들이 ARTEX와 같은 에이전트형 프레임워크를 계속 도입할 가능성이 매우 높다고 평가했다. 이들은 상용 LLM과 프레임워크를 결합해 소규모 팀도 한 번에 다수의 표적을 대상으로 침입 규모를 확장할 수 있게 할 것이다.

보고서는 데이터 노출이 의심되는 경우, 과거 백업과 디렉터리 내보내기에 남아 있는 키를 포함해 서명 키, 사전 인증 키, 서비스 자격 증명을 교체할 것을 권고한다. 또한 SAML 서명 검증을 강제하고 IMDSv2를 필수로 적용하며, 클라우드 역할의 명령 실행 권한을 필요한 최소한의 인스턴스로 제한해야 한다. 명령줄 매개변수의 artx 또는 artex 문자열, artx로 시작하는 클라우드 역할, C:\ProgramData\artx5v\ 디렉터리 등 ARTEX의 흔적을 찾아야 한다. 인터넷에 노출된 어플라이언스, 특히 장기간 운영된 Linux 기반 서버에 보안 패치를 적용하고, 공용 인터넷에서 접근할 수 없다고 여겨지는 서버를 포함해 환경 전반에 실시간 엔드포인트 탐지 및 대응 에이전트를 배포해야 한다.