Kina-tilknyttede VAPOR PANDA brøt seg inn hos ni av over 200 mål ved hjelp av KI-agenter

CrowdStrike opplyste at den Kina-tilknyttede trusselaktøren VAPOR PANDA brukte det AI-drevne inntrengingsrammeverket ARTEX, som hovedsakelig kjørte på den kinesiskutviklede store språkmodellen DeepSeek og en annen kommersiell modell, til å rette seg mot over 200 organisasjoner i minst 14 land i løpet av en periode på 11 dager fra 17. oktober 2026. CrowdStrike Intelligence bekreftet aktivitet etter kompromittering hos ni organisasjoner i en rapport publisert 29. oktober 2026.

CrowdStrike OverWatch observerte at utnyttelsesaktiviteten kom fra én enkelt ARTEX-kontroller, som CrowdStrike Intelligence knyttet til VAPOR PANDAs infrastruktur. Kontrolleren eksponerte med jevne mellomrom verktøy brukt av trusselaktøren, målfiler og agenttranskripsjoner, noe som tydet på flere operasjoner – kalt oppgaver i rammeverket – rettet mot flere mål. Hos de ni organisasjonene der aktivitet etter kompromittering var bekreftet, fikk trusselaktøren tilgang, installerte bakdøren BLOODALCHEMY og gikk videre til passordspraying, nettverksskanning og rekognosering. Trusselaktøren gjennomførte også passordspraying og skanning etter påloggingsinformasjon mot minst 12 andre organisasjoner, blant dem tankesmier med base i USA og offentlige virksomheter i Europa.

Målretting på tvers av regioner og sektorer

CrowdStrike rapporterte at VAPOR PANDA gjennomførte omfattende inntrengninger i utenriksdepartementene i to land i Latin-Amerika, trolig brøt seg inn i et tredje og klargjorde målfiler for senere bruk mot utenriksdepartementer i Mellom-Amerika og Asia. Trusselaktøren kompromitterte også et innenriksdepartement i Midtøsten.

CrowdStrike opplyste at én operasjon var rettet mot ett enkelt europeisk land: landets utenriksdepartement, presidentembete og statsministerens kontor, samt virksomheter innen forsvar, justis, finans og etterretning. En annen operasjon var rettet mot 19 organisasjoner med base i USA innen legemidler, halvledere, forsvar, kjernekraft og finans. Telekommunikasjonsleverandører i USA, Belgia og Filippinene ble også kompromittert.

Slik foregikk ARTEX-operasjonen

CrowdStrike opplyste at VAPOR PANDA hovedsakelig kjørte ARTEX med DeepSeek-modellen, supplert med en annen abonnementsbasert kommersiell stor språkmodell som CrowdStrike Intelligence ikke kunne bekrefte. I én enkelt inntrengning behandlet trusselaktørens planleggingsagenter omtrent 1,4 milliarder inndatatokener, et tall som ifølge CrowdStrike viser omfanget av den automatiserte aktiviteten og tyder på at operasjonen som helhet behandlet langt flere.

Ifølge CrowdStrike kobler ARTEX en hovedagent sammen med underordnede planlegger- og arbeidsagenter, som deler en graf med fakta, funn og mål. Slik føres hver operasjon fra første tilgang via rekognosering av verter til sideveis forflytning i nettverket. Rammeverket holdt et menneske inne i beslutningssløyfen. Gjenopprettede transkripsjoner viste at en operatør ga instruksjoner på kinesisk, merket med en etikett som ble oversatt til «menneskelig instruksjon» og tidsstemplet med kinesisk standardtid. Operatøren ba agentene opprette web shells, hente ut domenadministratorens påloggingsinformasjon og kontrollere dekningen til endepunktsensorene.

Rapporten beskrev agentens arbeid hos to legemiddelorganisasjoner med base i USA. Hos den første kombinerte agenten en usignert Security Assertion Markup Language (SAML)-påstand med en sårbarhet av typen XML external entity (XXE) for å få tilgang til skytjenesten Instance Metadata Service. Dermed fikk agenten en rolle som kunne utføre administrasjonskommandoer på tusenvis av instanser, og hentet derfra en konto for virksomhetsadministrator. Hos den andre installerte agenten web shells, utnyttet en orkestreringstjeneste uten autentisering for å få root-tilgang i et produksjonsmiljø for containere, leste passord fra Local Administrator Password Solution og misbrukte ressursbasert begrenset delegering til å utgi seg for å være en privilegert konto.

Rapporten beskriver også en operasjon mot en gresk offentlig virksomhet. Operatøren ga agenten en katalogeksport fra 2022 fra organisasjonens e-postserver, som inneholdt autentiseringsnøkler som trolig aldri var blitt rotert siden. Agenten brukte nøklene til å forfalske et administratortoken og lese e-postbokser. Deretter tok den seg inn på det interne nettverket via VPN-konfigurasjoner hentet fra en brukers sendte e-post og en VPN-klientnøkkel som operatøren sa stammet fra en e-postlekkasje i mai 2024.

CrowdStrike opplyste at agentene på tvers av disse operasjonene fulgte flere angrepsveier parallelt, på tvers av webapplikasjoner, skytjenester, containermiljøer, Active Directory samt e-post- og VPN-infrastruktur, og gikk over til alternative metoder når en angrepsvei mislyktes. CrowdStrike hadde tidligere observert trusselaktører bruke AI-agenter til å bistå i enkeltstående inntrengninger, men VAPOR PANDA gjennomførte flere operasjoner samtidig og grep bare inn for å omdirigere agentene ved beslutningspunkter. Operatøren fikk også agentene til å unngå endepunktforsvar: Hos en global legemiddelorganisasjon ba operatøren agentene om å «finne Windows-maskiner i domenet uten Falcon, ut fra tasklist og katalogoppføringer», med bruk av det CrowdStrike identifiserte som kinesisk red-team-sjargong for CrowdStrike Falcon-sensoren.

Distribusjon av BLOODALCHEMY

CrowdStrike rapporterte at VAPOR PANDA distribuerte BLOODALCHEMY, en bakdør som først ble offentlig dokumentert i oktober 2023, hos et innenriksdepartement i Midtøsten og et utenriksdepartement i Latin-Amerika. Angriperen ga en legitim GameHook-binærfil nytt navn, svchost.exe, og brukte den til å laste inn en skadelig DLL-fil, graphics-hook-filter64.dll. Denne dekrypterte i sin tur BLOODALCHEMY-nyttelastfilen graphics-hook_config.bin. Kopier av alle de tre filene ble plassert i åpne, eksponerte kataloger. Implantatet inneholder en intern prosjektbane, D:\ProjectX\Merman_New\, som CrowdStrike sa trolig gjenspeiler navnet skadevaren hadde under den interne utviklingen. BLOODALCHEMY kommuniserte med VAPOR PANDA-infrastruktur, blant annet med kommando- og kontroll-domenene nginxmysql.com og sqlserver-sqlite.com. Ifølge rapporten ser ikke disse indikatorene ut til å forekomme i tidligere offentlig ARTEX-rapportering.

Vurdering og anbefalte forsvarstiltak

CrowdStrike uttalte at denne kampanjen skiller seg fra ARTEX-aktiviteten som bransjekilder rapporterte om under betegnelsen Storm-0940. Etter CrowdStrikes vurdering tyder dette trolig på at rammeverket raskt blir stadig mer populært blant flere motstandere med tilknytning til Kina. Siden 2021 har VAPOR PANDA i hovedsak gått etter offentlige etater, tankesmier, energi- og utvinningsorganisasjoner i Europa, Nord-Amerika, Oseania og Storbritannia for å etablere langvarig tilgang. Rapporten beskrev denne kampanjen som første gang CrowdStrike hadde sett motstanderen bruke AI-drevne verktøy for inntrenging, og som en betydelig utvidelse av målrettingen til farmasøytiske selskaper, halvlederindustrien, atomsektoren, forsvarsorganisasjoner og utenriksdepartementer i nye regioner. Ifølge rapporten gjenspeiler operasjonens avhengighet av DeepSeek og andre kommersielle modeller, som kjøres gjennom et spesialbygd rammeverk, trolig et bevisst forsøk på å bygge en robust verktøykjede på tvers av flere modelltilbydere, i stedet for å være avhengig av én tjeneste.

CrowdStrike vurderte det som svært sannsynlig at motstandere med tilknytning til Kina vil fortsette å ta i bruk agentbaserte rammeverk som ARTEX i løpet av de neste 12 månedene, kombinere dem med kommersielt tilgjengelige store språkmodeller (LLM-er) og dermed gjøre det mulig for små team å skalere inntrengninger mot mange mål samtidig.

Rapporten anbefaler at organisasjoner bytter ut signeringsnøkler, forhåndsautentiseringsnøkler og tjenestepåloggingsopplysninger etter enhver mistanke om dataeksponering, også nøkler som finnes i eldre sikkerhetskopier og katalogeksporter; håndhever validering av SAML-signaturer, krever IMDSv2 og begrenser skyrollers tillatelser til å kjøre kommandoer til det minste antallet nødvendige instanser; leter etter ARTEX-markører, for eksempel strengene artx eller artex i kommandolinjeparametere, skyeroller med prefikset artx og katalogen C:\ProgramData\artx5v\; installerer sikkerhetsoppdateringer på internetteksponerte apparater, særlig Linux-baserte servere som har vært i drift lenge; og installerer en sanntidsagent for endepunktdeteksjon og -respons i hele miljøet, også på servere som anses som utilgjengelige fra det offentlige internettet.