Powiązana z Chinami grupa VAPOR PANDA włamała się do dziewięciu z ponad 200 celów, wykorzystując agentów AI

CrowdStrike poinformował, że powiązany z Chinami przeciwnik VAPOR PANDA wykorzystał do atakowania ponad 200 organizacji w co najmniej 14 krajach w ciągu 11 dni, począwszy od 17 października 2026 r., oparty na AI framework ARTEX do przeprowadzania włamań, działający głównie na chińskim dużym modelu językowym DeepSeek oraz drugim komercyjnym modelu. CrowdStrike Intelligence potwierdził aktywność po uzyskaniu dostępu do systemów w dziewięciu organizacjach w raporcie opublikowanym 29 października 2026 r..

CrowdStrike OverWatch zaobserwował, że aktywność polegająca na wykorzystywaniu luk pochodziła z pojedynczego kontrolera ARTEX, który CrowdStrike Intelligence powiązał z infrastrukturą VAPOR PANDA. Kontroler okresowo ujawniał narzędzia przeciwnika, pliki dotyczące celów i transkrypcje agentów, co wskazywało na wiele operacji — nazywanych w ramach frameworka zadaniami — prowadzonych przeciwko różnym celom. W dziewięciu organizacjach, w których potwierdzono aktywność po uzyskaniu dostępu do systemów, przeciwnik uzyskał dostęp, wdrożył backdoora BLOODALCHEMY, a następnie rozpoczął rozpylanie poświadczeń, skanowanie sieci i rozpoznanie. Prowadził też działania polegające na rozpylaniu haseł i skanowaniu poświadczeń w co najmniej 12 kolejnych organizacjach, w tym w amerykańskich think tankach i europejskich instytucjach rządowych.

Cele w różnych regionach i sektorach

CrowdStrike poinformował, że VAPOR PANDA przeprowadził rozległe włamania do ministerstw spraw zagranicznych dwóch krajów Ameryki Łacińskiej, prawdopodobnie włamał się do ministerstwa w trzecim kraju, a także przygotował pliki dotyczące celów do późniejszego wykorzystania przeciwko ministerstwom spraw zagranicznych w Ameryce Środkowej i Azji. Przeciwnik włamał się również do ministerstwa spraw wewnętrznych w kraju Bliskiego Wschodu.

CrowdStrike poinformował, że jedna z operacji koncentrowała się na jednym europejskim kraju: jego ministerstwie spraw zagranicznych, prezydenturze i kancelarii premiera, a także instytucjach odpowiedzialnych za obronę, sprawiedliwość, finanse i wywiad. W ramach innej operacji zaatakowano 19 organizacji z siedzibą w USA, działających w sektorach farmaceutycznym, półprzewodników, obronnym, nuklearnym i finansowym. Włamano się również do operatorów telekomunikacyjnych w USA, Belgii i na Filipinach.

Przebieg operacji ARTEX

CrowdStrike poinformował, że VAPOR PANDA korzystał z ARTEX głównie w oparciu o model DeepSeek, uzupełniony drugim, komercyjnym dużym modelem językowym dostępnym w ramach subskrypcji, którego CrowdStrike Intelligence nie zdołał zidentyfikować. Podczas jednego włamania agenci planujący przeciwnika przetworzyli około 1,4 miliarda tokenów wejściowych. Jak stwierdził CrowdStrike, liczba ta wskazuje na skalę zautomatyzowanych działań i sugeruje, że w całej operacji wykorzystano ich znacznie więcej.

Według CrowdStrike ARTEX łączy głównego agenta z podrzędnymi agentami planującymi i wykonawczymi, które współdzielą graf faktów, ustaleń i celów, prowadząc każdą operację od początkowego uzyskania dostępu przez rozpoznanie hostów aż po przemieszczanie się w sieci. W ramach frameworka nadzór sprawował człowiek. Odzyskane transkrypcje pokazały operatora wydającego polecenia po chińsku, oznaczone etykietą przetłumaczoną jako „instrukcja człowieka” i opatrzone znacznikiem czasu według czasu standardowego Chin. Polecenia nakazywały agentom tworzenie web shelli, wykradanie poświadczeń administratora domeny i sprawdzanie, które punkty końcowe są objęte działaniem czujników.

W raporcie szczegółowo opisano działania agenta w dwóch organizacjach farmaceutycznych z siedzibą w USA. W pierwszej agent połączył niepodpisaną asercję Security Assertion Markup Language (SAML) z luką związaną z zewnętrzną jednostką XML (XXE), aby uzyskać dostęp do chmurowej usługi metadanych instancji. Dzięki temu uzyskał rolę pozwalającą wydawać polecenia administracyjne tysiącom instancji, a następnie odzyskał konto administratora przedsiębiorstwa. W drugiej organizacji agent umieścił web shelle, wykorzystał nieuwierzytelnioną usługę orkiestracji, aby uzyskać dostęp na poziomie roota w środowisku kontenerowym produkcyjnym, odczytał hasła z rozwiązania Local Administrator Password Solution i nadużył delegowania z ograniczeniami opartego na zasobach, by podszyć się pod konto uprzywilejowane.

Raport opisuje również operację przeciwko greckiej instytucji rządowej, podczas której operator przekazał agentowi eksport katalogu z 2022 r. z serwera pocztowego organizacji, zawierający klucze uwierzytelniające, które prawdopodobnie nie były od tego czasu rotowane. Agent wykorzystał te klucze do sfałszowania tokenu administratora i odczytania skrzynek pocztowych, a następnie uzyskał dostęp do sieci wewnętrznej za pomocą konfiguracji VPN zaczerpniętych z wiadomości wysłanych przez użytkownika oraz klucza klienta VPN, który — jak stwierdził operator — pochodził z wycieku wiadomości e-mail z maja 2024 r.

CrowdStrike poinformował, że podczas tych operacji agenci równolegle realizowali wiele ścieżek ataku obejmujących aplikacje internetowe, usługi chmurowe, środowiska kontenerowe, Active Directory, a także infrastrukturę pocztową i VPN, a gdy dana ścieżka zawodziła, przechodzili do alternatywnych metod. Wcześniej CrowdStrike obserwował, jak sprawcy zagrożeń korzystali z agentów AI, by wspomagać pojedyncze włamania; VAPOR PANDA prowadził jednocześnie kilka operacji, a operator interweniował jedynie po to, by przekierować agentów w punktach decyzyjnych. Operator kazał też agentom omijać zabezpieczenia punktów końcowych. W jednej z globalnych organizacji farmaceutycznych polecił im: „znajdź komputery z systemem Windows w domenie, na których nie ma Falcona, oceniając to na podstawie tasklist i list folderów”. Według CrowdStrike użyte sformułowanie było slangowym określeniem czujnika CrowdStrike Falcon stosowanym przez chińskie zespoły red teamowe.

Wdrożenie BLOODALCHEMY

CrowdStrike poinformowała, że w ministerstwie spraw wewnętrznych na Bliskim Wschodzie oraz ministerstwie spraw zagranicznych w Ameryce Łacińskiej VAPOR PANDA wdrożyła BLOODALCHEMY — backdoor po raz pierwszy opisany publicznie w październiku 2023 roku. Przeciwnik zmienił nazwę legalnego pliku binarnego GameHook na svchost.exe i użył go do załadowania złośliwej biblioteki DLL graphics-hook-filter64.dll, która następnie odszyfrowała plik z ładunkiem BLOODALCHEMY, graphics-hook_config.bin. Kopie wszystkich trzech plików umieszczono w dostępnych publicznie, otwartych katalogach. Implant zawiera wewnętrzną ścieżkę projektu D:\ProjectX\Merman_New\, która — jak stwierdziła CrowdStrike — prawdopodobnie odzwierciedla wewnętrzną nazwę nadaną złośliwemu oprogramowaniu podczas jego opracowywania. BLOODALCHEMY komunikował się z infrastrukturą VAPOR PANDA, w tym z domenami serwerów dowodzenia i kontroli nginxmysql.com oraz sqlserver-sqlite.com, które — jak podano w raporcie — nie pojawiają się we wcześniejszych publicznych doniesieniach o ARTEX.

Ocena i zalecane środki obrony

CrowdStrike stwierdziła, że ta kampania różni się od aktywności ARTEX opisywanej przez źródła branżowe pod nazwą Storm-0940. W ocenie firmy wskazuje to prawdopodobnie na szybki wzrost popularności tego frameworka wśród wielu przeciwników powiązanych z Chinami. Od 2021 roku VAPOR PANDA atakowała głównie instytucje rządowe, ośrodki analityczne, organizacje z sektora energetycznego i wydobywczego w Europie, Ameryce Północnej, Oceanii oraz Wielkiej Brytanii, aby uzyskać długotrwały dostęp do ich systemów. W raporcie tę kampanię opisano jako pierwszy przypadek, w którym CrowdStrike zaobserwowała wykorzystanie przez przeciwnika narzędzi do włamań opartych na AI, a także jako znaczące rozszerzenie zakresu ataków na organizacje farmaceutyczne, półprzewodnikowe, jądrowe i obronne oraz ministerstwa spraw zagranicznych w nowych regionach. Według raportu wykorzystywanie przez grupę DeepSeek i dodatkowych modeli komercyjnych, obsługiwanych za pomocą specjalnie przygotowanego środowiska integracyjnego, prawdopodobnie odzwierciedla celową próbę zbudowania odpornego łańcucha narzędzi opartego na kilku dostawcach modeli, zamiast polegania na jednej usłudze.

CrowdStrike oceniła, że w ciągu najbliższych 12 miesięcy przeciwnicy powiązani z Chinami z dużym prawdopodobieństwem będą nadal wdrażać frameworki agentowe, takie jak ARTEX, łącząc je z komercyjnie dostępnymi dużymi modelami językowymi (LLM) i umożliwiając małym zespołom prowadzenie włamań na dużą skalę przeciwko wielu celom jednocześnie.

W raporcie zalecono organizacjom rotowanie kluczy podpisujących, kluczy wstępnego uwierzytelniania i poświadczeń usług po każdym podejrzeniu ujawnienia danych, w tym kluczy przechowywanych w starych kopiach zapasowych i eksportach katalogów; wymuszanie weryfikacji podpisów SAML, wymaganie IMDSv2 oraz ograniczanie uprawnień ról chmurowych do wykonywania poleceń wyłącznie do instancji, które tego wymagają; wyszukiwanie oznak ARTEX, takich jak ciągi artx lub artex w parametrach wiersza poleceń, role chmurowe z nazwami zaczynającymi się od artx oraz katalog C:\ProgramData\artx5v\; instalowanie poprawek na urządzeniach dostępnych z internetu, zwłaszcza na serwerach opartych na Linuksie, które działają od dawna; a także wdrażanie w całym środowisku agenta do wykrywania zagrożeń i reagowania na nie w czasie rzeczywistym, w tym na serwerach uznawanych za niedostępne z publicznego internetu.