Kinaanknutna VAPOR PANDA angrep nio av över 200 mål med AI-agenter

CrowdStrike uppgav att den Kinaanknutna angriparen VAPOR PANDA använde det AI-drivna intrångsramverket ARTEX, som huvudsakligen kördes på den kinesiskt utvecklade stora språkmodellen DeepSeek och en andra kommersiell modell, för att rikta in sig på fler än 200 organisationer i minst 14 länder under en elvadagarsperiod som inleddes den 17 oktober 2026. CrowdStrike Intelligence bekräftade aktivitet efter intrånget hos nio organisationer i en rapport som publicerades den 29 oktober 2026.

CrowdStrike OverWatch observerade exploateringsaktiviteten från en enda ARTEX-styrenhet, som CrowdStrike Intelligence kopplade till VAPOR PANDAS infrastruktur. Styrenheten exponerade periodvis verktyg som användes av angriparen, målfiler och agentutskrifter, vilket pekade på flera insatser – kallade uppgifter inom ramverket – mot flera mål. Hos de nio organisationer där aktivitet efter intrånget bekräftades fick angriparen åtkomst, installerade bakdörren BLOODALCHEMY och gick vidare till lösenordsspridning, nätverksskanning och spaning. Angriparen utförde också lösenordsspridning och inloggningsuppgiftsskanning mot minst 12 ytterligare organisationer, däribland amerikanska tankesmedjor och offentliga organ i Europa.

Mål i olika regioner och sektorer

CrowdStrike rapporterade att VAPOR PANDA genomförde omfattande intrång i utrikesministerierna i två latinamerikanska länder, sannolikt bröt sig in i ett tredje lands utrikesministerium och förberedde målfiler för senare användning mot utrikesministerier i Centralamerika och Asien. Angriparen komprometterade också ett inrikesministerium i Mellanöstern.

CrowdStrike uppgav att en insats riktades mot ett enda europeiskt land: landets utrikesministerium, presidentämbete och premiärministerns kansli samt försvars-, justitie-, finans- och underrättelseorgan. En annan insats riktades mot 19 organisationer i USA inom läkemedels-, halvledar-, försvars-, kärnenergi- och finanssektorerna. Telekommunikationsleverantörer i USA, Belgien och Filippinerna komprometterades också.

Inblick i ARTEX-operationen

CrowdStrike uppgav att VAPOR PANDA främst körde ARTEX med modellen DeepSeek, kompletterad med en andra, prenumerationsbaserad kommersiell stor språkmodell som CrowdStrike Intelligence inte kunde bekräfta. Under ett enda intrång förbrukade angriparens planeringsagenter omkring 1,4 miljarder indatatoken, en siffra som enligt CrowdStrike visar omfattningen av den automatiserade aktiviteten och tyder på att operationen som helhet förbrukade betydligt mer.

Enligt CrowdStrike kombinerar ARTEX en huvudagent med underordnade planerings- och arbetsagenter som delar en graf med fakta, resultat och mål. Tillsammans för de varje insats från det första intrånget via spaning på värddatorer till lateral förflyttning i nätverket. En människa fanns kvar i beslutsprocessen. Återfunna utskrifter visade att en operatör gav instruktioner på kinesiska, märkta med en etikett som översatts till ”mänsklig instruktion” och tidsstämplade enligt kinesisk standardtid. Operatören bad agenterna att skapa webbskal, hämta domänadministratörsuppgifter och kontrollera täckningen hos slutpunktssensorer.

Rapporten beskriver agentens arbete hos två läkemedelsorganisationer i USA. Hos den första kombinerade agenten ett osignerat påstående enligt Security Assertion Markup Language (SAML) med en sårbarhet av typen XML external entity (XXE) för att nå molnets Instance Metadata Service. Därigenom fick agenten en roll som kunde utfärda administrationskommandon till tusentals instanser, och kunde sedan hämta ett administratörskonto för hela organisationen. Hos den andra planterade agenten webbskal, utnyttjade en orkestreringstjänst utan autentisering för att få root-åtkomst i en produktionsmiljö med containrar, läste lösenord från Local Administrator Password Solution och missbrukade resursbaserad begränsad delegering för att utge sig för att vara ett privilegierat konto.

Rapporten beskriver också en insats mot en grekisk offentlig organisation. Operatören gav då agenten en katalogexport från 2022 från organisationens e-postserver, som innehöll autentiseringsnycklar som sannolikt aldrig hade bytts ut sedan dess. Agenten använde nycklarna för att förfalska en administratörstoken och läsa e-postlådor. Därefter tog den sig in i det interna nätverket via VPN-konfigurationer från en användares skickade e-post och en VPN-klientnyckel som operatören sade kom från en e-postläcka i maj 2024.

CrowdStrike uppgav att agenterna under dessa insatser drev flera angreppsvägar parallellt, via webbapplikationer, molntjänster, containermiljöer, Active Directory samt e-post- och VPN-infrastruktur, och bytte till alternativa metoder när en väg misslyckades. Tidigare hade CrowdStrike observerat att hotaktörer använde AI-agenter för att bistå vid enskilda intrång. VAPOR PANDA genomförde däremot flera insatser samtidigt och ingrep endast för att styra om agenterna vid beslutspunkter. Operatören lät också agenterna undvika slutpunktsskydd. Hos en global läkemedelsorganisation bad operatören agenterna att ”hitta Windows-datorer i domänen utan Falcon, utifrån tasklist och kataloglistningar” och använde därmed, enligt CrowdStrike, kinesisk folkrepublikansk red team-slang för sensorn CrowdStrike Falcon.

Driftsättning av BLOODALCHEMY

CrowdStrike rapporterade att VAPOR PANDA på ett inrikesministerium i Mellanöstern och ett utrikesministerium i Latinamerika installerade BLOODALCHEMY, en bakdörr som först dokumenterades offentligt i oktober 2023. Angriparen döpte om en legitim GameHook-binärfil till svchost.exe och använde den för att läsa in en skadlig DLL-fil, graphics-hook-filter64.dll, som i sin tur dekrypterade BLOODALCHEMY-nyttolastfilen graphics-hook_config.bin. Kopior av alla tre filerna placerades sedan i exponerade, öppna kataloger. Implantatet innehåller en intern projektsökväg, D:\ProjectX\Merman_New\, som enligt CrowdStrike sannolikt återspeglar det interna utvecklingsnamnet för den skadliga programvaran. BLOODALCHEMY kommunicerade med VAPOR PANDAs infrastruktur, däribland kommando- och kontroll-domänerna nginxmysql.com och sqlserver-sqlite.com. Enligt rapporten förekommer dessa indikatorer inte i tidigare offentliga rapporter om ARTEX.

Bedömning och rekommenderade skyddsåtgärder

CrowdStrike uppgav att den här kampanjen skiljer sig från ARTEX-aktiviteten som branschkällor rapporterat under beteckningen Storm-0940. Enligt CrowdStrike tyder detta sannolikt på att ramverket snabbt blir allt populärare bland flera angripare med koppling till Kina. Sedan 2021 har VAPOR PANDA främst riktat in sig på myndigheter, tankesmedjor, energi- och utvinningsföretag i Europa, Nordamerika, Oceanien och Storbritannien för att skapa långvarig åtkomst. Rapporten beskrev kampanjen som första gången CrowdStrike sett angriparen använda AI-drivna intrångsverktyg. Den innebär också en betydande utvidgning av målgruppen till läkemedels-, halvledar-, kärnkrafts- och försvarsorganisationer samt utrikesministerier i nya regioner. Enligt rapporten återspeglar operationens beroende av DeepSeek och ytterligare kommersiella modeller, som körs via en specialbyggd körmiljö, sannolikt ett medvetet försök att skapa en motståndskraftig verktygskedja som omfattar flera modellleverantörer i stället för att förlita sig på en enda tjänst.

CrowdStrike bedömde att angripare med koppling till Kina med hög sannolikhet kommer att fortsätta ta till sig agentiska ramverk som ARTEX under de kommande 12 månaderna, kombinera dem med kommersiellt tillgängliga LLM-modeller och därigenom göra det möjligt för små team att skala upp intrång mot många mål samtidigt.

Rapporten rekommenderar att organisationer byter ut signeringsnycklar, förautentiseringsnycklar och tjänsteuppgifter efter varje misstänkt dataexponering, även nycklar som finns i äldre säkerhetskopior och katalogexporter; kräver validering av SAML-signaturer, kräver IMDSv2 och begränsar molnrollernas behörighet att köra kommandon till det minsta nödvändiga antalet instanser; letar efter ARTEX-indikatorer, såsom strängarna artx eller artex i kommandoradsparametrar, molnroller med namn som börjar med artx och katalogen C:\ProgramData\artx5v\; installerar säkerhetsuppdateringar på internetanslutna enheter, särskilt långlivade Linux-baserade servrar; och distribuerar en agent för detektering och hantering av slutpunktshot i realtid i hela miljön, även på servrar som anses vara oåtkomliga från det offentliga internet.