W publikacjach z 30 października 2026 r. CrowdStrike miał przypisać VAPOR PANDA, grupie określanej jako powiązana z Chinami, kampanię z użyciem ARTEX i DeepSeek. Operacja miała rozpocząć się 17 października i trwać 11 dni. Jej celem było ponad 200 organizacji w co najmniej 14 krajach.

Cele kampanii i potwierdzona aktywność

Ponad 200 to liczba organizacji uznanych za cele. CrowdStrike miał potwierdzić aktywność po uzyskaniu dostępu w dziewięciu organizacjach, a w co najmniej 12 kolejnych odnotować skanowanie poświadczeń lub password spraying, czyli serię prób logowania do wielu kont. To odrębne kategorie zgłoszonej aktywności.

W relacjach wymieniono także 19 organizacji w Stanach Zjednoczonych jako cele jednej z operacji. Opisano również ataki na firmy telekomunikacyjne w Stanach Zjednoczonych, Belgii i na Filipinach. Te przykłady nie składają się na pełną listę państw objętych kampanią.

To odrębna operacja od kampanii agentowych opisanych wcześniej przez NeoTeo, w tym czterech kampanii wykorzystujących agentów AI.

DeepSeek działał w ARTEX pod nadzorem operatora

ARTEX miał koordynować głównego agenta z agentami planującymi i wykonawczymi, które wymieniały się ustaleniami i celami. DeepSeek był opisywany jako główny model używany w tym frameworku, obok drugiego, komercyjnego modelu. Operator miał wydawać polecenia po chińsku i interweniować w kluczowych momentach, więc działania pozostawały pod ludzkim nadzorem.

Według tych relacji agenci planujący przetworzyli około 1,4 mld tokenów wejściowych podczas jednej intruzji. Ta liczba dotyczy jednego przypadku, a nie całej kampanii.

ARTEX i BLOODALCHEMY miały wcześniejsze publiczne ślady

SecurityBrief Australia opisał ARTEX jako framework open source. CrowdStrike miał też wskazać wdrożenie backdoora BLOODALCHEMY w dwóch organizacjach. SecurityBrief Australia podaje, że ten backdoor był publicznie dokumentowany już w październiku 2023 r. W kampanii miały pojawić się natomiast wskaźniki infrastruktury związanej z ARTEX, których wcześniej nie opisywano publicznie w tym kontekście.

Zalecenia CrowdStrike dotyczą zabezpieczeń kont i chmury

Zalecenia przypisywane CrowdStrike obejmowały zmianę kluczy podpisywania, kluczy przed uwierzytelnieniem i poświadczeń usług po podejrzeniu ich ujawnienia. Firma miała też zalecać walidację podpisów SAML, wymaganie IMDSv2, ograniczenie uprawnień do wykonywania poleceń w chmurze, łatanie systemów dostępnych z internetu oraz utrzymywanie ochrony punktów końcowych.