Volgens CrowdStrike zette VAPOR PANDA, een als China-gelieerd omschreven actor, ARTEX in bij een cybercampagne die op 17 oktober 2026 begon en elf dagen duurde. DeepSeek was daarbij het primaire taalmodel. Een menselijke operator gaf instructies en greep op belangrijke momenten in.
Meer dan 200 organisaties waren doelwit
De campagne richtte zich volgens CrowdStrike op meer dan 200 organisaties in minstens 14 landen. Bij negen organisaties werd post-exploitatieactiviteit als bevestigd gemeld. Dat is activiteit na het verkrijgen van toegang tot een systeem. Minstens twaalf andere organisaties kregen te maken met het scannen van inloggegevens of wachtwoordspraying, een methode waarbij wachtwoorden tegen accounts worden uitgeprobeerd.
De gerapporteerde doelwitten kwamen onder meer uit de overheid, farmaceutische industrie, halfgeleidersector, defensie, nucleaire sector, financiële sector en telecommunicatie. De cijfers beschrijven verschillende stadia van de campagne: doelwit zijn, verdachte accountactiviteiten zien en post-exploitatieactiviteit vaststellen.
ARTEX gebruikte DeepSeek onder menselijk toezicht
ARTEX is een open-sourceframework voor AI-agenten. Volgens CrowdStrike coördineerde het een hoofdagent met plannings- en uitvoerende agents die informatie, bevindingen en doelen deelden. DeepSeek was het primaire model, naast een commercieel abonnementsmodel.
Teruggevonden transcripties bevatten volgens CrowdStrike instructies van een menselijke operator in het Chinees. Die operator greep op beslissende momenten in. De beschreven werkwijze was dus door mensen begeleid.
De planningsagenten verwerkten bij één inbraak naar verluidt ongeveer 1,4 miljard inputtokens. Dat cijfer betreft die ene inbraak. CrowdStrike meldde daarnaast dat bij twee organisaties de achterdeur BLOODALCHEMY was ingezet. Deze malware was al in oktober 2023 publiek gedocumenteerd. CrowdStrike beschreef ook infrastructuurindicatoren die niet eerder in openbare ARTEX-verslagen waren genoemd.
NeoTeo schreef eerder over vier andere groepen die AI-agenten bij cyberaanvallen inzetten. Dat artikel gaat over andere campagnes dan de activiteit die aan VAPOR PANDA is toegeschreven.
Welke maatregelen adviseerde CrowdStrike?
CrowdStrike adviseerde om sleutels en servicecredentials te vervangen na vermoedelijke blootstelling, SAML-handtekeningen te valideren en IMDSv2 te verplichten. Ook noemde het bedrijf het beperken van cloudmachtigingen voor het uitvoeren van opdrachten tot de benodigde instanties, het patchen van systemen die vanaf internet bereikbaar zijn en het handhaven van endpointdetectie en -respons in de hele omgeving.
