Selon CrowdStrike, le groupe d’espionnage VAPOR PANDA, qu’elle rattache à la Chine, a dirigé depuis le 17 octobre ARTEX, un cadre open source qui coordonne des agents d’intrusion, contre plus de 200 organisations dans au moins 14 pays. Neuf ont subi une intrusion confirmée. Il s’agit du deuxième groupe lié à la Chine à utiliser cet outil, après Storm-0940.
- Le groupe VAPOR PANDA, lié à la Chine, utilise ARTEX pour piloter des agents d’IA.
- Ces agents mènent plusieurs intrusions en parallèle et changent de piste lorsqu’une voie échoue.
- Ils s’appuient surtout sur DeepSeek et exploitent des failles déjà connues.
- CrowdStrike recommande de changer les clés exposées et de valider les signatures SAML.
CrowdStrike a publié le 29 octobre les transcriptions de ces opérations, issues d’un serveur de commande lié à VAPOR PANDA. Ce serveur a exposé par intermittence ses outils, ses fichiers de cibles et les échanges de ses agents. On y trouve notamment une consigne, en chinois et horodatée à l’heure de Pékin, précédée de l’étiquette « instruction humaine » : « Trouve dans le domaine les machines Windows sans Falcon, d’après la liste des processus et les dossiers. » Falcon est le logiciel de sécurité de CrowdStrike. La consigne s’adresse à des agents d’IA déployés dans le réseau d’un groupe pharmaceutique mondial, qui devaient repérer les postes non protégés par ce logiciel pour y concentrer la suite de l’intrusion. Elle a été traduite par ActuIA à partir de la version anglaise publiée par CrowdStrike.
Le 21 octobre, Microsoft avait déjà attribué à Storm-0940, autre groupe aligné sur Pékin, une campagne menée avec le même outil contre les clients de ConnectWise. CrowdStrike précise que les deux opérations sont distinctes, et y voit le signe que l’outil gagne probablement en popularité parmi les groupes liés à la Chine. Pour l’heure, c’est la seule source à documenter cette campagne, et l’éditeur vend lui-même le logiciel que les attaquants cherchaient à éviter.
Des ministères européens dans la liste
Le changement le plus net concerne les cibles. Depuis 2021, VAPOR PANDA visait surtout des administrations, des think tanks et le secteur de l’énergie. Une des opérations confiées aux agents visait un seul pays européen, non nommé : son ministère des Affaires étrangères, sa présidence, les services de son Premier ministre, et ses administrations de la défense, de la justice, des finances et du renseignement. Une autre visait 19 organisations américaines de la pharmacie, des semi-conducteurs, de la défense, du nucléaire et de la finance. Des opérateurs télécoms ont été compromis aux États-Unis, en Belgique et aux Philippines.
Le chiffre de 200 désigne des organisations visées, et non des victimes. CrowdStrike confirme une activité après intrusion dans neuf d’entre elles, où le groupe a installé une porte dérobée connue depuis 2023, BLOODALCHEMY, avant de lancer des actions de reconnaissance et des attaques sur les mots de passe. Au moins douze autres ont subi des tentatives sur leurs identifiants, dont des administrations européennes.
Un opérateur, plusieurs intrusions à la fois
ARTEX organise un agent principal, des agents planificateurs et des agents exécutants, qui partagent une base commune de faits, de découvertes et d’objectifs. L’humain n’intervient qu’aux embranchements. Jusqu’ici, CrowdStrike avait observé des agents d’IA assister une intrusion à la fois. VAPOR PANDA en a mené plusieurs en parallèle, chaque agent changeant de piste lorsqu’une voie échouait, qu’il s’agisse d’applications web, de services cloud, de conteneurs, de l’annuaire Active Directory, de la messagerie ou du VPN.
Le groupe a fait fonctionner ARTEX surtout avec DeepSeek, complété par un second modèle commercial accessible par abonnement, que CrowdStrike n’a pas pu identifier. Dans une seule intrusion, les agents planificateurs ont consommé de l’ordre de 1,4 milliard de jetons en entrée, les jetons étant les unités de texte qu’un modèle traite. Selon CrowdStrike, ce choix est délibéré : il vise une chaîne d’outils qui ne dépend d’aucun fournisseur de modèles, à partir de composants open source et d’abonnements commerciaux. Le rapport décrit les moteurs de ce dispositif comme étant en vente libre.
Des failles anciennes, exploitées plus vite
Les agents ont surtout exploité des failles déjà connues. Dans un laboratoire pharmaceutique américain, ils ont notamment enchaîné une assertion SAML non signée, un protocole d’authentification, et une faille XML, jusqu’à obtenir un compte d’administrateur de l’entreprise. Contre une administration grecque, l’opérateur leur a fourni un export d’annuaire de 2022 dont les clés d’authentification n’avaient vraisemblablement pas été changées depuis. Une clé de client VPN issue, selon l’opérateur, d’une fuite de courriels de mai 2024 leur a aussi permis d’atteindre un réseau interne.
CrowdStrike recommande de changer les clés après toute exposition de données, y compris celles conservées dans des sauvegardes ou des exports d’annuaire, de valider les signatures SAML et d’imposer IMDSv2 sur AWS. Elle invite aussi à chercher les traces d’ARTEX, comme les chaînes « artx » ou « artex » en ligne de commande, et à mettre à jour les équipements exposés à internet, en particulier les vieux serveurs Linux. Le rapport de CrowdStrike juge très probable que les groupes liés à la Chine continuent d’adopter ce type d’outil dans les douze prochains mois. Le serveur a également laissé voir des fichiers de cibles préparés pour des ministères des Affaires étrangères en Amérique centrale et en Asie, sans que CrowdStrike sache si ces opérations ont été lancées.
