Una campaña de espionaje sin precedentes con agentes de IA

CrowdStrike OverWatch identificó una campaña del grupo VAPOR PANDA que utilizó el marco de agentes de IA ARTEX junto al modelo de lenguaje de gran tamaño (LLM) DeepSeek, de origen chino, y un segundo LLM comercial, para llevar a cabo intrusiones simultáneas contra múltiples objetivos de alto valor. A partir del 17 de octubre de 2026, el adversario empleó ARTEX contra más de 200 organizaciones distintas en todo el mundo, entre ellas ministerios de Asuntos Exteriores en América Latina, Europa, Asia y Oriente Medio; organizaciones de semiconductores, defensa y centros de análisis estratégico en Estados Unidos; y proveedores de telecomunicaciones en múltiples regiones.

Esta campaña de VAPOR PANDA es independiente de la actividad de ARTEX recientemente notificada por fuentes del sector bajo la denominación Storm-0940. CrowdStrike había documentado previamente ARTEX y marcos agénticos similares en uso por actores con motivación financiera y sin atribución; en esta campaña, un adversario de intrusión dirigida utilizó ARTEX para ejecutar intrusiones paralelas contra múltiples objetivos de alto valor. La telemetría de CrowdStrike Falcon también reveló detalles ausentes en los informes públicos sobre ARTEX, incluido el despliegue por parte de VAPOR PANDA de la puerta trasera BLOODALCHEMY y su infraestructura de mando y control (C2). Esta campaña marca una escalada en el uso de agentes de IA por parte de actores vinculados a China, pasando de intrusiones individuales a múltiples compromisos simultáneos dirigidos por un operador humano. La operación también muestra al adversario incorporando directamente la evasión de sensores de endpoint en su flujo de trabajo agéntico, con instrucciones para identificar equipos sin el sensor CrowdStrike Falcon.

Objetivos de la operación en 14 países

A partir del 17 de octubre de 2026, CrowdStrike OverWatch observó actividad de explotación procedente de un único controlador ARTEX dirigida contra entidades en al menos 14 países durante un periodo de 11 días. El controlador, que CrowdStrike Intelligence ha vinculado a la infraestructura de VAPOR PANDA, expuso de forma intermitente herramientas del adversario, archivos de objetivos y transcripciones de agentes ARTEX, lo que indica múltiples compromisos (denominados "tareas" por ARTEX) contra múltiples objetivos. VAPOR PANDA utilizó ARTEX para llevar a cabo intrusiones extensas en los ministerios de Asuntos Exteriores de dos países de América Latina, probablemente comprometió un tercero, y preparó archivos de objetivos para su uso contra ministerios de Asuntos Exteriores en Centroamérica y Asia.

El adversario también comprometió un ministerio del Interior con sede en Oriente Medio. Un compromiso se centró en un único país europeo, atacando su ministerio de Asuntos Exteriores, la presidencia y la oficina del primer ministro, así como entidades de defensa, justicia, finanzas e inteligencia. Un compromiso separado tuvo como objetivo 19 organizaciones con sede en Estados Unidos en los sectores farmacéutico, de semiconductores, defensa, nuclear y financiero. El adversario también comprometió proveedores de telecomunicaciones en Estados Unidos, Bélgica y Filipinas. CrowdStrike Intelligence confirmó actividad posterior a la explotación en nueve organizaciones, donde el adversario obtuvo acceso, desplegó BLOODALCHEMY y llevó a cabo actividades de rociado de credenciales, escaneo de red y reconocimiento. El adversario también realizó actividades de rociado de contraseñas y escaneo de credenciales contra al menos 12 organizaciones adicionales, incluidos centros de análisis estratégico con sede en Estados Unidos y entidades gubernamentales en Europa.

El funcionamiento interno de la operación

VAPOR PANDA ejecutó ARTEX principalmente con el LLM DeepSeek, de origen chino, complementado con un segundo LLM comercial por suscripción que CrowdStrike Intelligence no pudo confirmar. En una sola intrusión, los agentes de planificación de VAPOR PANDA consumieron del orden de 1.400 millones de tokens de entrada, lo que indica la escala de la actividad automatizada e implica un consumo mucho mayor en el conjunto de la operación. La dependencia de la campaña de componentes de código abierto superpuestos a suscripciones de LLM comerciales ilustra cómo los adversarios pueden ensamblar intrusiones escalables y multiagente en gran medida a partir de recursos disponibles públicamente.

ARTEX coordina un agente principal con agentes subordinados de planificación y ejecución sobre un grafo compartido de hechos, hallazgos y objetivos, avanzando cada compromiso desde el acceso inicial hasta el reconocimiento del host y el movimiento lateral. El marco mantuvo a un humano en el circuito: las transcripciones recuperadas mostraron a un operador emitiendo instrucciones en chino, marcadas con la etiqueta 【人类指令】 (traducción al español: "instrucción humana") y con marca de tiempo en la Hora Estándar de China, dirigiendo a los agentes para que escribieran web shells, extrajesen contraseñas de administrador de dominio e inventariasen la cobertura de sensores de endpoint. Donde CrowdStrike había observado anteriormente a actores de amenazas usar agentes de IA para asistir en intrusiones individuales, VAPOR PANDA utilizó

ARTEX para ejecutar múltiples compromisos simultáneamente, interviniendo solo para orientar a los agentes en los puntos de decisión. Las transcripciones recuperadas y las herramientas preparadas muestran a un adversario que combina el flujo de trabajo impulsado por IA con técnicas bien establecidas: en una organización farmacéutica con sede en Estados Unidos, el agente encadenó una aserción SAML sin firmar y un fallo de entidad externa XML (XXE) para consultar el servicio de metadatos de instancia en la nube, obteniendo un rol capaz de emitir comandos de administración a miles de instancias antes de escalar para recuperar una cuenta de administrador empresarial; en una segunda organización farmacéutica con sede en Estados Unidos, el agente desplegó web shells, abusó de un servicio de orquestación no autenticado para obtener acceso root en un entorno de contenedores de producción, leyó contraseñas de la Solución de Contraseña de Administrador Local (LAPS) y abusó de la delegación restringida basada en recursos para suplantar una cuenta privilegiada; contra una entidad gubernamental griega, el operador proporcionó al agente una exportación de directorio de 2022 del servidor de correo de la organización que contenía claves de autenticación que probablemente no habían sido rotadas desde la exportación, y el agente utilizó esas claves para falsificar un token de administrador y leer buzones de correo, luego usó configuraciones de VPN recuperadas del correo enviado de un usuario, junto con una clave de cliente VPN que el operador describió como proveniente de una filtración de correo electrónico de mayo de 2024, para alcanzar la red interna. En todos estos compromisos, los agentes persiguieron múltiples rutas de ataque en paralelo, abarcando aplicaciones web, servicios en la nube, entornos de contenedores, Active Directory e infraestructura de correo y VPN, y cambiaron a enfoques alternativos cuando una ruta fallaba.

Esta amplitud probablemente permite a un único operador aplicar una gama más amplia de técnicas contra más objetivos a la vez de lo que sería factible mediante operaciones manuales. VAPOR PANDA también fue observado dirigiendo a los agentes para evadir las defensas de endpoint: en una organización farmacéutica global, el operador instruyó a los agentes para "在域里寻找没有装猎鹰的windows机器，从tasklist和文件夹目录判断" (traducción al español: "encontrar máquinas Windows en el dominio sin Falcon, juzgando por la lista de tareas y los listados de carpetas"), usando 猎鹰, que es la jerga de los equipos de ataque de la República Popular China para referirse al sensor CrowdStrike Falcon. Incorporar comprobaciones de cobertura de sensores directamente en el flujo de trabajo agéntico permite al adversario concentrar la actividad posterior en los hosts desprotegidos.

La puerta trasera BLOODALCHEMY

En un ministerio del Interior con sede en Oriente Medio y un ministerio de Asuntos Exteriores con sede en América Latina, VAPOR PANDA desplegó BLOODALCHEMY, una puerta trasera documentada públicamente por primera vez en octubre de 2023. El adversario utilizó un binario legítimo de GameHook renombrado como svchost.exe para cargar una DLL maliciosa, graphics-hook-filter64.dll, que descifraba el archivo de carga útil de BLOODALCHEMY graphics-hook_config.bin. El adversario preparó copias de los tres archivos en los directorios abiertos expuestos. El implante lleva una ruta de proyecto interna, D:\ProjectX\Merman_New, que probablemente refleja el nombre de desarrollo interno del malware. En toda la actividad observada, BLOODALCHEMY se comunicó con la infraestructura de VAPOR PANDA. Estos indicadores no aparecen en informes públicos anteriores sobre ARTEX y también se consolidan en la tabla de indicadores de compromiso al final de este informe.

Evaluación y perspectivas

Esta campaña es independiente de la actividad de ARTEX notificada por el sector bajo la denominación Storm-0940, lo que probablemente indica que el marco basado en IA está ganando popularidad rápidamente entre múltiples adversarios vinculados a China. Desde 2021, VAPOR PANDA ha tenido como objetivo principalmente organizaciones gubernamentales, centros de análisis estratégico, energía y extractivas en Europa, América del Norte, Oceanía y el Reino Unido para desarrollar acceso a largo plazo. Esta campaña marca el primer uso observado del adversario de herramientas de intrusión impulsadas por IA y una notable ampliación de sus objetivos hacia los sectores farmacéutico, de semiconductores, nuclear y de defensa, así como ministerios de Asuntos Exteriores, en nuevas regiones. Las herramientas agénticas como ARTEX permiten esta escala de expansión a velocidad, permitiendo a un pequeño equipo perseguir un conjunto de objetivos más amplio del que las operaciones manuales podrían soportar, en lugar de un abandono total de la misión de desarrollo de acceso establecida del adversario. La dependencia de la operación de DeepSeek y LLMs comerciales adicionales, ejecutados a través de un arnés construido específicamente, probablemente refleja un esfuerzo deliberado para construir una cadena de herramientas resiliente a partir de múltiples proveedores de modelos en lugar de depender de un único servicio. Los adversarios vinculados a China muy probablemente continuarán adoptando marcos agénticos como ARTEX durante los próximos 12 meses, combinándolos con LLMs disponibles comercialmente, y permitiendo a pequeños equipos escalar rápidamente intrusiones contra muchos objetivos simultáneamente.

Recomendaciones e indicadores de compromiso

CrowdStrike recomienda rotar las claves de firma, las claves de preautenticación y las credenciales de servicio tras cualquier exposición de datos sospechada, incluidas las claves contenidas en copias de seguridad históricas y exportaciones de directorios; aplicar la validación de firma SAML, requerir IMDSv2 y restringir los permisos de ejecución de comandos de los roles en la nube al mínimo de instancias necesarias; buscar marcadores de ARTEX, incluidos parámetros de línea de comandos que contengan cadenas artx o artex, roles en la nube con prefijo artx-, comentarios de comandos de administración art18- y el directorio C:\ProgramData\artx5v; parchear los dispositivos expuestos a internet, en particular los servidores Linux de larga duración, y asegurarse de que ejecutan el software y firmware más recientes disponibles; y desplegar un agente avanzado de detección y respuesta en endpoints (EDR) en tiempo real, como el sensor CrowdStrike Falcon, en todo el entorno, incluidos los servidores considerados inaccesibles desde internet público. Los indicadores de compromiso identificados incluyen los dominios C2 de BLOODALCHEMY nginxmysql[.]com, sqlserver-sqlite[.]com y www[.]ddduuuppp[.]com, con sus respectivas direcciones IP 45.153.126[.]223, 89.46.234[.]50 y 192.121.47[.]20, así como los hashes SHA-256 del binario GameHook renombrado, la DLL cargadora de BLOODALCHEMY y el archivo de carga útil de BLOODALCHEMY.