VAPOR PANDA, ligado à China, comprometeu nove de mais de 200 alvos com agentes de IA

A CrowdStrike afirmou que o agente VAPOR PANDA, ligado à China, usou o framework de intrusão ARTEX, baseado em IA e executado principalmente no modelo de linguagem de grande porte DeepSeek, desenvolvido na China, e em um segundo modelo comercial, para atacar mais de 200 organizações em pelo menos 14 países ao longo de um período de 11 dias iniciado em 17 de outubro de 2026. A CrowdStrike Intelligence confirmou atividade pós-exploração em nove organizações em um relatório publicado em 29 de outubro de 2026.

A CrowdStrike OverWatch observou que a atividade de exploração partia de um único controlador ARTEX, que a CrowdStrike Intelligence vinculou à infraestrutura do VAPOR PANDA. O controlador expunha periodicamente ferramentas do agente, arquivos de alvos e transcrições dos agentes, indicando a realização de vários engajamentos — chamados de tarefas no framework — contra diversos alvos. Nas nove organizações em que a atividade pós-exploração foi confirmada, o agente obteve acesso, implantou a porta dos fundos BLOODALCHEMY e passou a realizar pulverização de credenciais, varredura de redes e reconhecimento. O agente também realizou ataques de pulverização de senhas e varredura de credenciais contra pelo menos outras 12 organizações, entre elas think tanks sediados nos EUA e entidades governamentais na Europa.

Alvos em diferentes regiões e setores

A CrowdStrike informou que o VAPOR PANDA realizou extensas intrusões nos ministérios das Relações Exteriores de dois países da América Latina, provavelmente invadiu um terceiro e preparou arquivos de alvos para uso posterior contra ministérios das Relações Exteriores da América Central e da Ásia. O agente também comprometeu um ministério do Interior no Oriente Médio.

Segundo a CrowdStrike, um dos engajamentos concentrou-se em um único país europeu: no ministério das Relações Exteriores, na presidência e no gabinete do primeiro-ministro, além de entidades de defesa, justiça, finanças e inteligência. Outro engajamento teve como alvo 19 organizações sediadas nos EUA, nos setores farmacêutico, de semicondutores, de defesa, nuclear e financeiro. Também foram comprometidos provedores de telecomunicações nos EUA, na Bélgica e nas Filipinas.

Por dentro da operação ARTEX

A CrowdStrike afirmou que o VAPOR PANDA executou o ARTEX principalmente com o modelo DeepSeek, complementado por um segundo modelo comercial de linguagem de grande porte, por assinatura, que a CrowdStrike Intelligence não conseguiu confirmar. Em uma única intrusão, os agentes de planejamento do adversário consumiram cerca de 1,4 bilhão de tokens de entrada, um número que, segundo a CrowdStrike, indica a escala da atividade automatizada e sugere que a operação como um todo consumiu muito mais.

Segundo a CrowdStrike, o ARTEX combina um agente principal com agentes subordinados de planejamento e execução, que compartilham um grafo de fatos, descobertas e objetivos e conduzem cada engajamento desde o acesso inicial, passando pelo reconhecimento dos hosts, até o movimento lateral. O framework manteve uma pessoa no circuito. As transcrições recuperadas mostram um operador dando instruções em chinês, identificadas por um rótulo traduzido como “instrução humana” e com registro de data e hora no Horário Padrão da China, orientando os agentes a criar web shells, extrair credenciais de administradores de domínio e verificar a cobertura dos sensores de endpoints.

O relatório detalhou o trabalho dos agentes em duas organizações farmacêuticas sediadas nos EUA. Na primeira, o agente combinou uma asserção Security Assertion Markup Language (SAML) sem assinatura com uma falha de entidade externa XML (XXE) para acessar o serviço de metadados de instâncias na nuvem, obtendo uma função capaz de emitir comandos de administração para milhares de instâncias; a partir daí, recuperou uma conta de administrador corporativo. Na segunda, o agente instalou web shells, explorou um serviço de orquestração sem autenticação para obter acesso root em um ambiente de contêineres de produção, leu senhas do Local Administrator Password Solution e usou indevidamente a delegação restrita baseada em recursos para se passar por uma conta privilegiada.

O relatório também descreve um engajamento contra uma entidade governamental grega, no qual o operador forneceu ao agente uma exportação de diretório de 2022 do servidor de e-mail da organização, que continha chaves de autenticação provavelmente nunca trocadas desde então. O agente usou essas chaves para forjar um token de administrador e ler caixas de correio; em seguida, entrou na rede interna por meio de configurações de VPN obtidas nos e-mails enviados por um usuário e de uma chave de cliente VPN que, segundo o operador, vinha de um vazamento de e-mails de maio de 2024.

A CrowdStrike afirmou que, ao longo desses engajamentos, os agentes exploraram em paralelo vários caminhos de ataque, abrangendo aplicações web, serviços em nuvem, ambientes de contêineres, Active Directory e infraestruturas de e-mail e VPN, e recorreram a abordagens alternativas quando um caminho falhava. Enquanto anteriormente havia observado agentes de ameaças usando agentes de IA para ajudar em intrusões individuais, a CrowdStrike constatou que o VAPOR PANDA conduziu vários engajamentos ao mesmo tempo, intervindo apenas para redirecionar os agentes em pontos de decisão. O operador também instruiu os agentes a contornar as defesas de endpoints: em uma organização farmacêutica global, orientou-os a “encontrar máquinas Windows no domínio sem Falcon, a julgar por tasklist e pelas listagens de pastas”, usando o que a CrowdStrike identificou como gíria de equipes vermelhas da República Popular da China para se referir ao sensor CrowdStrike Falcon.

Implantação do BLOODALCHEMY

A CrowdStrike informou que, em um ministério do Interior sediado no Oriente Médio e em um ministério das Relações Exteriores sediado na América Latina, o VAPOR PANDA implantou o BLOODALCHEMY, um backdoor documentado publicamente pela primeira vez em outubro de 2023. O adversário renomeou um binário legítimo do GameHook como svchost.exe e o usou para carregar uma DLL maliciosa, graphics-hook-filter64.dll, que, por sua vez, descriptografou o arquivo da carga útil do BLOODALCHEMY, graphics-hook_config.bin. Também deixou cópias dos três arquivos em diretórios abertos expostos. O implante contém um caminho interno de projeto, D:\ProjectX\Merman_New\, que, segundo a CrowdStrike, provavelmente reflete o nome usado internamente no desenvolvimento do malware. O BLOODALCHEMY comunicava-se com a infraestrutura do VAPOR PANDA, incluindo os domínios de comando e controle nginxmysql.com e sqlserver-sqlite.com, indicadores que, segundo o relatório, não aparecem em relatos públicos anteriores sobre o ARTEX.

Avaliação e defesas recomendadas

A CrowdStrike afirmou que esta campanha difere da atividade ARTEX que fontes do setor relataram sob a designação Storm-0940, o que, em sua avaliação, provavelmente indica que a estrutura está ganhando popularidade rapidamente entre vários adversários ligados à China. Desde 2021, o VAPOR PANDA tem visado sobretudo organizações governamentais, centros de estudos, empresas de energia e organizações dos setores extrativistas na Europa, na América do Norte, na Oceania e no Reino Unido, com o objetivo de estabelecer acesso de longo prazo. O relatório descreveu esta campanha como a primeira vez que a CrowdStrike observou o adversário usar ferramentas de intrusão impulsionadas por IA, além de uma expansão significativa da seleção de alvos para incluir organizações farmacêuticas, de semicondutores, nucleares e de defesa, bem como ministérios das Relações Exteriores em novas regiões. Segundo o relatório, a dependência da operação do DeepSeek e de outros modelos comerciais, executados por meio de uma estrutura desenvolvida especificamente para esse fim, provavelmente reflete uma tentativa deliberada de criar uma cadeia de ferramentas resiliente que abranja vários provedores de modelos, em vez de depender de um único serviço.

A CrowdStrike avaliou que é muito provável que adversários ligados à China continuem adotando estruturas agênticas, como o ARTEX, nos próximos 12 meses, combinando-as com LLMs disponíveis comercialmente e permitindo que pequenas equipes ampliem intrusões para atingir muitos alvos ao mesmo tempo.

O relatório recomenda que as organizações troquem as chaves de assinatura, as chaves de pré-autenticação e as credenciais de serviço após qualquer suspeita de exposição de dados, incluindo chaves armazenadas em backups históricos e exportações de diretórios; exijam a validação de assinaturas SAML e o uso do IMDSv2, além de limitarem as permissões de execução de comandos das funções na nuvem às instâncias estritamente necessárias; procurem indicadores do ARTEX, como as sequências artx ou artex nos parâmetros da linha de comando, funções na nuvem com nomes iniciados por artx e o diretório C:\ProgramData\artx5v\; corrijam as vulnerabilidades de dispositivos expostos à internet, sobretudo servidores baseados em Linux que estejam em operação há muito tempo; e implantem um agente de detecção e resposta de endpoints em tempo real em todo o ambiente, inclusive em servidores considerados inacessíveis pela internet pública.