与中国有关联的 VAPOR PANDA 利用 AI 智能体攻破 200 多个目标中的 9 个

CrowdStrike 表示，与中国有关联的攻击者 VAPOR PANDA 使用了由 AI 驱动的 ARTEX 入侵框架。该框架主要运行于中国开发的 DeepSeek 大语言模型之上，并使用另一款商业模型；在从 2026 年 10 月 17 日开始的 11 天内，攻击者以至少 14 个国家的 200 多家机构为目标。CrowdStrike Intelligence 在一份于 2026 年 10 月 29 日发布的报告中确认，有 9 家机构遭遇了后利用活动。

CrowdStrike OverWatch 观察到，攻击活动来自一个 ARTEX 控制器；CrowdStrike Intelligence 将该控制器与 VAPOR PANDA 的基础设施联系起来。该控制器会定期暴露攻击者的工具、目标文件和智能体活动记录，表明其正针对多个目标执行多项行动；在该框架中，这些行动称为“任务”。在确认发生后利用活动的 9 家机构中，攻击者取得了访问权限、部署了 BLOODALCHEMY 后门，随后开展凭据喷洒、网络扫描和侦察活动。攻击者还对至少另外 12 家机构实施了密码喷洒和凭据扫描，其中包括总部位于美国的智库以及欧洲的政府实体。

跨地区、跨行业的目标

CrowdStrike 报告称，VAPOR PANDA 在两个位于拉丁美洲国家的外交部内部实施了大规模入侵，很可能还攻破了第三个国家的外交部，并准备了目标文件，以便日后用于针对中美洲和亚洲各国外交部的行动。攻击者还攻破了一个位于中东国家的内政部。

CrowdStrike 表示，其中一项行动集中针对一个欧洲国家的多个机构：该国外交部、总统府和首相办公室，以及国防、司法、财政和情报机构。另一项行动针对美国的 19 家机构，涉及制药、半导体、国防、核能和金融行业。美国、比利时和菲律宾的电信服务提供商也遭到入侵。

深入了解 ARTEX 行动

CrowdStrike 表示，VAPOR PANDA 运行 ARTEX 时主要使用 DeepSeek 模型，并辅以另一款采用订阅制的商业大语言模型，但 CrowdStrike Intelligence 无法确认该模型的身份。在一次入侵行动中，攻击者的规划智能体处理了约 14 亿个输入词元。CrowdStrike 表示，这一数字反映了自动化活动的规模，也意味着整个行动消耗的词元总量要大得多。

据 CrowdStrike 介绍，ARTEX 将一个主智能体与下属的规划智能体和执行智能体配合使用；这些智能体共享一张包含事实、发现和目标的图谱，推动每项行动从初始访问，经由主机侦察，直至横向移动。该框架保留了人工参与环节。恢复的活动记录显示，操作人员用中文向智能体下达指令，记录中以译为“人工指令”的标签标注，并附有中国标准时间的时间戳；指令要求智能体创建 Web Shell、提取域管理员凭据并检查终端传感器的覆盖情况。

报告详细介绍了智能体在两家总部位于美国的制药机构实施的行动。在第一家机构，智能体将未经签名的安全断言标记语言（Security Assertion Markup Language，SAML）断言与 XML 外部实体（XXE）漏洞结合起来，访问云实例元数据服务（Instance Metadata Service），并取得一个可向数千个实例下达管理命令的角色；随后，智能体从中获取了一个企业管理员账户。在第二家机构，智能体植入了 Web Shell，利用一项无需身份验证的编排服务，在生产容器环境中取得 root 权限，读取本地管理员密码解决方案（Local Administrator Password Solution）的密码，并滥用基于资源的约束委派来冒充一个特权账户。

报告还介绍了一项针对希腊政府实体的行动。操作人员向智能体提供了该机构邮件服务器上的一份 2022 年目录导出文件，其中包含身份验证密钥；这些密钥很可能自那以后从未轮换。智能体利用这些密钥伪造管理员令牌并读取邮箱，随后通过从一名用户的已发送邮件中获取的 VPN 配置，以及一把操作人员称来自 2024 年 5 月电子邮件泄露事件的 VPN 客户端密钥，进入内部网络。

CrowdStrike 表示，在这些行动中，智能体并行尝试了多条攻击路径，涉及 Web 应用、云服务、容器环境、Active Directory，以及邮件和 VPN 基础设施；如果一条路径失败，它们就会改用其他方法。CrowdStrike 此前观察到威胁行为者利用 AI 智能体协助实施单次入侵，而 VAPOR PANDA 则同时开展多项行动，仅在需要作出决策的节点介入，引导智能体调整方向。操作人员还让智能体躲避终端防御：在一家全球性制药机构，操作人员指示智能体“根据 tasklist 和文件夹列表，找出域内未安装 Falcon 的 Windows 机器”。CrowdStrike 指出，这里使用的是中华人民共和国红队针对 CrowdStrike Falcon 传感器的俚语。

BLOODALCHEMY 部署

CrowdStrike 报告称，在一家位于中东的内政部和一家位于拉丁美洲的外交部，VAPOR PANDA 部署了 BLOODALCHEMY。这款后门于 2023 年 10 月首次公开披露。攻击者将一个合法的 GameHook 二进制文件重命名为 svchost.exe，并用它加载恶意 DLL 文件 graphics-hook-filter64.dll；随后，该 DLL 解密了 BLOODALCHEMY 载荷文件 graphics-hook_config.bin。攻击者还将这三个文件的副本放置在可公开访问的开放目录中。该植入程序包含一个内部项目路径 D:\ProjectX\Merman_New\；CrowdStrike 表示，这很可能反映了该恶意软件在内部开发时使用的名称。BLOODALCHEMY 与 VAPOR PANDA 的基础设施通信，其中包括命令与控制域名 nginxmysql.com 和 sqlserver-sqlite.com。报告指出，这些指标此前未出现在公开的 ARTEX 报告中。

评估与建议的防御措施

CrowdStrike 表示，这次行动有别于业界报告中以 Storm-0940 为代号的 ARTEX 活动。CrowdStrike 认为，这可能表明该框架正迅速受到多个与中国有关联的对手青睐。自 2021 年以来，VAPOR PANDA 主要针对欧洲、北美、大洋洲和英国的政府机构、智库、能源组织及采掘业组织，以建立长期访问权限。报告称，这是 CrowdStrike 首次发现该对手使用由 AI 驱动的入侵工具；此次行动还显著扩大了其目标范围，将新地区的制药、半导体、核能和国防组织以及外交部纳入其中。报告指出，该行动依赖 DeepSeek 和其他商业模型，并通过专门构建的工具框架运行，这很可能反映出其有意在多个模型提供商之间构建一条具备韧性的工具链，而不是依赖单一服务。

CrowdStrike 评估认为，在未来 12 个月内，与中国有关联的对手极有可能继续采用 ARTEX 等代理式框架，将其与商用大语言模型结合使用，使小型团队能够同时将入侵行动扩展至众多目标。

报告建议，组织在怀疑发生任何数据泄露后，应轮换签名密钥、预身份验证密钥和服务凭据，其中包括存放在历史备份和目录导出文件中的密钥；强制验证 SAML 签名、要求使用 IMDSv2，并将云角色的命令执行权限限制在必要的最少实例范围内；搜寻 ARTEX 特征，例如命令行参数中的 artx 或 artex 字符串、以 artx 为前缀的云角色，以及 C:\ProgramData\artx5v\ 目录；修补面向互联网的设备，尤其是长期运行的 Linux 服务器；并在整个环境中部署实时端点检测与响应代理，包括那些被认为无法从公共互联网访问的服务器。