CrowdStrike: VAPOR PANDA brukte ARTEX og DeepSeek mot over 200 organisasjoner på 11 dager
lørdag 31. oktober · KI-generert · Kilde: CrowdStrike
Regn med at agentdrevne innbrudd nå skalerer: VAPOR PANDA styrte flere parallelle ARTEX-operasjoner med DeepSeek mot over 200 organisasjoner, og ni er bekreftet rammet.
En ARTEX-kontroller knyttet til den kinesiske aktøren VAPOR PANDA eksponerte med jevne mellomrom verktøy, målfiler og agenttranskripter i et vindu på 11 dager fra 17. oktober 2026, skriver CrowdStrike OverWatch. Det ga innsyn i en kampanje mot over 200 organisasjoner i minst 14 land, blant dem utenriksdepartementer i Latin-Amerika, Europa, Asia og Midtøsten, 19 amerikanske virksomheter innen farmasi, halvledere, forsvar, kjernekraft og finans, og teleselskaper i USA, Belgia og Filippinene. CrowdStrike bekrefter innbrudd hos ni organisasjoner og passordspraying mot minst 12 til.
Kampanjen er atskilt fra ARTEX-aktiviteten Microsoft beskrev som Storm-0940 21. oktober. Det tyder ifølge CrowdStrike på at rammeverket sprer seg mellom flere kinesisk-tilknyttede aktører. VAPOR PANDA har vært aktiv siden 2021, men dette er første gang aktøren er observert med KI-drevet innbruddsverktøy.
ARTEX lar en hovedagent styre planlegger- og arbeideragenter over en felles graf av fakta, funn og mål. Aktøren kjørte primært DeepSeek, supplert med en kommersiell modell CrowdStrike ikke har identifisert, og planleggeragentene brukte rundt 1,4 milliarder input-tokens i ett enkelt innbrudd. En menneskelig operatør grep inn på beslutningspunkter med instrukser på kinesisk:
«Finn Windows-maskiner i domenet uten Falcon, ut fra tasklist og mappelister» — VAPOR PANDA-operatør, i CrowdStrikes oversettelse
Teknikkene er velkjente. Agentene kjedet en usignert SAML-assertion med en XXE-feil for å spørre skyens metadatatjeneste, leste LAPS-passord og brukte nøkler fra en katalogeksport fra 2022 som aldri var rotert. Poenget er bredden: agentene prøver mange kjente angrepsveier parallelt og bytter når én feiler, så én operatør når flere mål enn manuelt arbeid tillater.
Hva bør du gjøre?
- Roter signeringsnøkler og tjenestelegitimasjon etter mistenkt lekkasje, også nøkler som ligger i gamle backups og katalogeksporter.
- Krev IMDSv2, valider SAML-signaturer og begrens hvilke instanser en skyrolle får kjøre kommandoer på.
- Søk etter ARTEX-spor: artx- eller artex-strenger i kommandolinjer, skyroller med artx-prefiks og mappen C:\ProgramData\artx5v\.