China-gelieerde VAPOR PANDA drong met AI-agenten binnen bij negen van de ruim 200 doelwitten

Volgens CrowdStrike gebruikte de aan China gelieerde tegenstander VAPOR PANDA het AI-gestuurde inbraakframework ARTEX, dat voornamelijk draaide op het in China ontwikkelde grote taalmodel DeepSeek en een tweede commercieel model, om in een periode van 11 dagen vanaf 17 oktober 2026 meer dan 200 organisaties in ten minste 14 landen als doelwit te nemen. CrowdStrike Intelligence bevestigde post-exploitatieactiviteiten bij negen organisaties in een rapport dat op 29 oktober 2026 werd gepubliceerd.

CrowdStrike OverWatch zag dat de exploitatieactiviteiten afkomstig waren van één ARTEX-controller, die CrowdStrike Intelligence in verband bracht met de infrastructuur van VAPOR PANDA. De controller maakte periodiek tools van de tegenstander, doelbestanden en transcripties van agenten toegankelijk. Dat wees op meerdere operaties — binnen het framework taken genoemd — die tegen meerdere doelwitten werden uitgevoerd. Bij de negen organisaties waar post-exploitatieactiviteiten waren bevestigd, kreeg de tegenstander toegang, installeerde die de achterdeur BLOODALCHEMY en ging die over op het verspreiden van inloggegevens, netwerkscans en verkenning. De tegenstander voerde ook aanvallen uit waarbij wachtwoorden werden geraden en inloggegevens werden gescand bij ten minste 12 andere organisaties, waaronder in de VS gevestigde denktanks en overheidsinstanties in Europa.

Doelwitten in verschillende regio’s en sectoren

CrowdStrike meldde dat VAPOR PANDA uitgebreide inbraken uitvoerde bij de ministeries van Buitenlandse Zaken van twee landen in Latijns-Amerika, waarschijnlijk ook bij een derde land binnendrong en doelbestanden klaarzette voor later gebruik tegen ministeries van Buitenlandse Zaken in Centraal-Amerika en Azië. De tegenstander drong ook binnen bij een ministerie van Binnenlandse Zaken in het Midden-Oosten.

Volgens CrowdStrike richtte één operatie zich op één Europees land: het ministerie van Buitenlandse Zaken, het presidentschap en het kantoor van de premier, evenals instanties op het gebied van defensie, justitie, financiën en inlichtingen. Een andere operatie richtte zich op 19 organisaties in de VS in de farmaceutische, halfgeleider-, defensie-, nucleaire en financiële sector. Ook telecomaanbieders in de VS, België en de Filipijnen werden gecompromitteerd.

Binnen de ARTEX-operatie

Volgens CrowdStrike voerde VAPOR PANDA ARTEX voornamelijk uit met het DeepSeek-model, aangevuld met een tweede, op abonnementen gebaseerd commercieel groot taalmodel waarvan CrowdStrike Intelligence het gebruik niet kon bevestigen. Tijdens één inbraak verwerkten de planningsagenten van de tegenstander ongeveer 1,4 miljard invoertokens. Volgens CrowdStrike wijst dat aantal op de omvang van de geautomatiseerde activiteiten en suggereert het dat de operatie als geheel veel meer tokens heeft verwerkt.

Volgens CrowdStrike koppelt ARTEX een hoofdagent aan ondergeschikte planner- en werkeragenten, die een gedeelde graaf van feiten, bevindingen en doelen gebruiken. Zo doorloopt elke operatie de stappen van de eerste toegang tot verkenning van hosts en laterale verplaatsing. Bij het framework bleef een mens betrokken. Uit teruggevonden transcripties bleek dat een operator instructies in het Chinees gaf, voorzien van een label dat werd vertaald als ‘instructie van een mens’ en van tijdstempels in de Chinese standaardtijd. De operator droeg de agenten op webshells aan te maken, inloggegevens van domeinbeheerders te verzamelen en de dekking van endpoint-sensoren te controleren.

Het rapport beschreef het werk van de agent bij twee farmaceutische organisaties in de VS. Bij de eerste combineerde de agent een niet-ondertekende Security Assertion Markup Language (SAML)-assertie met een kwetsbaarheid voor XML external entity (XXE) om toegang te krijgen tot de cloudservice Instance Metadata Service. Zo verkreeg de agent een rol waarmee beheeropdrachten naar duizenden instanties konden worden gestuurd, waarna de agent een account van een bedrijfsbeheerder wist te achterhalen. Bij de tweede plaatste de agent webshells, maakte misbruik van een niet-geverifieerde orkestratiedienst om roottoegang te krijgen in een productiecontaineromgeving, las wachtwoorden uit van Local Administrator Password Solution en misbruikte op resources gebaseerde beperkte delegatie om zich voor te doen als een account met uitgebreide rechten.

Het rapport beschrijft ook een operatie tegen een Griekse overheidsinstantie. De operator gaf de agent een directory-export uit 2022 van de mailserver van de organisatie, met authenticatiesleutels die sindsdien waarschijnlijk nooit waren vernieuwd. De agent gebruikte die sleutels om een beheertoken te vervalsen en postvakken te lezen. Vervolgens drong de agent het interne netwerk binnen via VPN-configuraties uit de verzonden e-mail van een gebruiker en een VPN-clientsleutel die volgens de operator afkomstig was uit een e-maillek in mei 2024.

Volgens CrowdStrike volgden de agenten tijdens deze operaties meerdere aanvalspaden tegelijk, via webapplicaties, clouddiensten, containeromgevingen, Active Directory en mail- en VPN-infrastructuur. Als een pad niet werkte, schakelden ze over op alternatieve aanpakken. Waar CrowdStrike eerder had gezien dat dreigingsactoren AI-agenten inzetten ter ondersteuning van afzonderlijke inbraken, voerde VAPOR PANDA meerdere operaties tegelijk uit. De operator greep alleen in om de agenten op beslissende momenten bij te sturen. De operator liet de agenten ook endpointbeveiliging omzeilen: bij een wereldwijd opererende farmaceutische organisatie droeg de operator ze op ‘Windows-machines in het domein zonder Falcon te vinden, afgaande op tasklist en mappenoverzichten’. Daarbij gebruikte de operator redteamjargon uit de Volksrepubliek China voor de CrowdStrike Falcon-sensor, zoals CrowdStrike vaststelde.

Inzet van BLOODALCHEMY

CrowdStrike meldde dat VAPOR PANDA bij een ministerie van Binnenlandse Zaken in het Midden-Oosten en een ministerie van Buitenlandse Zaken in Latijns-Amerika BLOODALCHEMY inzette, een achterdeur die voor het eerst in oktober 2023 openbaar werd beschreven. De tegenstander hernoemde een legitiem GameHook-binair bestand tot svchost.exe en gebruikte het om een kwaadaardige DLL, graphics-hook-filter64.dll, te laden. Die DLL ontsleutelde vervolgens het BLOODALCHEMY-payloadbestand graphics-hook_config.bin. Ook plaatste de tegenstander kopieën van alle drie de bestanden in openbaar toegankelijke, blootgestelde mappen. Het implantaat bevat een intern projectpad, D:\ProjectX\Merman_New\, dat volgens CrowdStrike waarschijnlijk de interne ontwikkelingsnaam van de malware weerspiegelt. BLOODALCHEMY communiceerde met de infrastructuur van VAPOR PANDA, waaronder de command-and-controldomeinen nginxmysql.com en sqlserver-sqlite.com. Volgens het rapport kwamen deze indicatoren niet voor in eerdere openbare ARTEX-rapportages.

Beoordeling en aanbevolen verdedigingsmaatregelen

CrowdStrike stelde dat deze campagne losstaat van de ARTEX-activiteit die bronnen uit de sector rapporteerden onder de aanduiding Storm-0940. Dat wijst er volgens CrowdStrike waarschijnlijk op dat het framework snel aan populariteit wint onder meerdere tegenstanders met banden met China. Sinds 2021 richt VAPOR PANDA zich vooral op overheidsinstellingen, denktanks, energieorganisaties en organisaties in de winningssector in Europa, Noord-Amerika, Oceanië en het Verenigd Koninkrijk, met als doel langdurige toegang te verkrijgen. Volgens het rapport was dit de eerste keer dat CrowdStrike de tegenstander AI-gestuurde inbraaktools zag gebruiken. De campagne betekende bovendien een aanzienlijke uitbreiding van de doelwitten naar farmaceutische, halfgeleider-, nucleaire en defensieorganisaties en ministeries van Buitenlandse Zaken in nieuwe regio’s. Volgens het rapport weerspiegelt het feit dat de operatie gebruikmaakt van DeepSeek en andere commerciële modellen via een speciaal ontwikkelde orkestratielaag waarschijnlijk een doelbewuste poging om een veerkrachtige toolketen op te bouwen met meerdere modelaanbieders, in plaats van op één dienst te vertrouwen.

CrowdStrike beoordeelde het als zeer waarschijnlijk dat tegenstanders met banden met China de komende 12 maanden agentische frameworks zoals ARTEX blijven overnemen, deze combineren met commercieel beschikbare LLM’s en kleine teams zo in staat stellen om gelijktijdig inbraken op te schalen naar een groot aantal doelwitten.

Het rapport beveelt organisaties aan om ondertekeningssleutels, pre-authenticatiesleutels en service-inloggegevens te vervangen na elke vermoedelijke blootstelling van gegevens, ook wanneer de sleutels zich in oude back-ups en directory-exporten bevinden; handtekeningvalidatie voor SAML af te dwingen, IMDSv2 verplicht te stellen en de rechten van cloudrollen om opdrachten uit te voeren te beperken tot de minimaal noodzakelijke instanties; te zoeken naar ARTEX-indicatoren, zoals de tekenreeksen artx of artex in opdrachtregelparameters, cloudrollen met een naam die begint met artx en de map C:\ProgramData\artx5v\; internetgerichte apparaten te patchen, met name servers op Linux die al lange tijd in gebruik zijn; en in de hele omgeving een agent voor realtime detectie en respons op endpoints uit te rollen, ook op servers die als onbereikbaar vanaf het openbare internet worden beschouwd.