CrowdStrike soll VAPOR PANDA eine elf Tage dauernde Cyberkampagne mit ARTEX und DeepSeek zugeschrieben haben. Sie begann demnach am 17. Oktober 2026 und zielte auf mehr als 200 Organisationen in mindestens 14 Ländern. CrowdStrike zufolge wurde bei neun Organisationen Post-Exploitation-Aktivität bestätigt, also Aktivität nach dem Eindringen in ein System.
Was die Zahlen über die Ziele aussagen
Bei mindestens zwölf weiteren Organisationen meldete CrowdStrike Password Spraying oder Credential-Scanning. Beim Password Spraying werden Passwörter systematisch gegen Konten ausprobiert; Credential-Scanning bezeichnet die systematische Prüfung von Zugangsdaten. Diese Organisationen führte CrowdStrike zusätzlich zu den neun Fällen mit bestätigter Post-Exploitation-Aktivität auf.
In einem einzelnen Eindringfall sollen Planungsagenten rund 1,4 Milliarden Eingabetokens verarbeitet haben. Der Wert bezieht sich auf diesen Vorfall, nicht auf die gesamte Kampagne.
ARTEX verband KI-Agenten mit menschlicher Steuerung
CrowdStrike zufolge war DeepSeek das primäre Sprachmodell des ARTEX-Frameworks. Daneben kam ein nicht näher bezeichnetes kommerzielles Modell zum Einsatz. ARTEX koordinierte einen Hauptagenten mit Planungs- und Arbeitsagenten, die Informationen und Ziele austauschten. SecurityBrief Australia beschrieb das Framework als quelloffen.
Ausgewertete Transkripte sollen chinesischsprachige Anweisungen eines menschlichen Operators und dessen Eingriffe an entscheidenden Punkten gezeigt haben. Der berichtete Ablauf kombinierte damit automatisierte Agenten mit menschlicher Aufsicht.
BLOODALCHEMY war schon vor der Kampagne bekannt
CrowdStrike soll den Einsatz der Hintertür BLOODALCHEMY bei zwei Organisationen festgestellt haben, darunter ein Innenministerium im Nahen Osten und ein Außenministerium in Lateinamerika. SecurityBrief Australia zufolge war BLOODALCHEMY bereits im Oktober 2023 öffentlich dokumentiert. CrowdStrike soll außerdem Infrastrukturindikatoren benannt haben, die in früheren öffentlichen Berichten zu ARTEX noch nicht genannt worden waren.
Welche Schutzmaßnahmen CrowdStrike empfahl
CrowdStrike empfahl laut den Berichten, bei vermuteter Offenlegung Signaturschlüssel, Präauthentifizierungsschlüssel und Dienstzugangsdaten zu wechseln, auch wenn sie in älteren Sicherungen oder Verzeichnisexporten liegen. Zu den weiteren Empfehlungen gehörten die Prüfung von SAML-Signaturen, die Nutzung von IMDSv2 für Cloud-Instanzmetadaten, die Beschränkung von Cloud-Befehlsausführungsrechten auf benötigte Instanzen, das Einspielen von Sicherheitsupdates für internetzugängliche Systeme und eine durchgängige Abdeckung mit Endpoint Detection and Response.
