CrowdStrike aurait attribué à VAPOR PANDA, un acteur qu’elle décrit comme lié à la Chine, une campagne cyber qui aurait débuté le 17 octobre 2026 et duré 11 jours. Plus de 200 organisations dans au moins 14 pays auraient été ciblées avec le framework ARTEX et DeepSeek comme modèle principal. CrowdStrike aurait confirmé une activité post-exploitation dans neuf organisations.

Cibles et activité après l’intrusion

Les chiffres rapportés distinguent le nombre d’organisations visées des cas où une activité après la compromission initiale aurait été confirmée. CrowdStrike aurait également relevé des tentatives de recherche d’identifiants ou de pulvérisation de mots de passe dans au moins 12 autres organisations.

NeoTeo a aussi couvert quatre autres campagnes utilisant des agents d’IA, dans un article consacré à des opérations distinctes.

ARTEX associait plusieurs agents et une supervision humaine

ARTEX aurait coordonné un agent principal avec des agents de planification et d’exécution qui partageaient leurs informations et leurs objectifs. CrowdStrike aurait désigné DeepSeek comme modèle principal, avec un second modèle commercial utilisé en complément.

Des transcriptions récupérées auraient montré un opérateur humain donnant des instructions en chinois et intervenant aux moments clés de la prise de décision. La campagne était donc décrite comme supervisée par une personne. Au cours d’une intrusion, les agents de planification auraient traité environ 1,4 milliard de jetons d’entrée.

ARTEX et BLOODALCHEMY avaient déjà des antécédents publics

SecurityBrief Australia décrit ARTEX comme un framework open source et indique que BLOODALCHEMY avait été documenté publiquement en octobre 2023. CrowdStrike aurait relevé le déploiement de cette porte dérobée dans deux organisations : un ministère de l’Intérieur au Moyen-Orient et un ministère des Affaires étrangères en Amérique latine.

CrowdStrike aurait aussi identifié deux domaines associés à l’infrastructure de la campagne, non signalés jusque-là dans les comptes rendus publics consacrés à ARTEX : nginxmysql.com et sqlserver-sqlite.com.

Les mesures défensives attribuées à CrowdStrike

CrowdStrike aurait recommandé de renouveler les clés de signature, les clés de pré-authentification et les identifiants de service après une exposition suspectée, y compris lorsqu’ils figurent dans d’anciennes sauvegardes ou des exports d’annuaire. Ses autres recommandations rapportées comprennent :

  • valider les signatures SAML ;
  • imposer IMDSv2 et limiter les permissions d’exécution de commandes dans le cloud aux instances qui en ont besoin ;
  • appliquer les correctifs aux systèmes exposés à Internet ;
  • maintenir une couverture de détection et de réponse sur les terminaux ;
  • rechercher les indicateurs associés à ARTEX, notamment les chaînes de commande artx ou artex, les rôles cloud dont le nom commence par artx et le répertoire C:\ProgramData\artx5v.