Según CrowdStrike, el grupo de espionaje VAPOR PANDA, que vincula a China, ha dirigido desde el 17 de octubre ARTEX, un marco de código abierto que coordina agentes de intrusión, contra más de 200 organizaciones en al menos 14 países. Nueve sufrieron una intrusión confirmada. Se trata del segundo grupo vinculado a China en utilizar esta herramienta, después de Storm-0940.
CrowdStrike publicó el 29 de octubre las transcripciones de estas operaciones, procedentes de un servidor de comando vinculado a VAPOR PANDA. Este servidor expuso intermitentemente sus herramientas, sus archivos de objetivos y los intercambios de sus agentes. Entre ellos se encuentra una instrucción, en chino y con marca de tiempo de Pekín, precedida de la etiqueta «instrucción humana»: «Encuentra en el dominio las máquinas Windows sin Falcon, según la lista de procesos y las carpetas». Falcon es el software de seguridad de CrowdStrike. La instrucción se dirige a agentes de IA desplegados en la red de un grupo farmacéutico mundial, que debían identificar los equipos no protegidos por este software para concentrar allí el resto de la intrusión. Fue traducida por ActuIA a partir de la versión en inglés publicada por CrowdStrike.
El 21 de octubre, Microsoft ya había atribuido a Storm-0940, otro grupo alineado con Pekín, una campaña llevada a cabo con la misma herramienta contra los clientes de ConnectWise. CrowdStrike precisa que las dos operaciones son distintas, y ve en ello una señal de que la herramienta probablemente gana popularidad entre los grupos vinculados a China. Por ahora, es la única fuente que documenta esta campaña, y el propio editor vende el software que los atacantes buscaban evitar.
Ministerios europeos en la lista
El cambio más claro concierne a los objetivos. Desde 2021, VAPOR PANDA se dirigía principalmente a administraciones, think tanks y el sector energético. Una de las operaciones confiadas a los agentes apuntaba a un solo país europeo, no nombrado: su ministerio de Asuntos Exteriores, su presidencia, los servicios de su Primer Ministro, y sus administraciones de defensa, justicia, finanzas e inteligencia. Otra apuntaba a 19 organizaciones estadounidenses de farmacia, semiconductores, defensa, nuclear y finanzas. Operadores de telecomunicaciones fueron comprometidos en Estados Unidos, Bélgica y Filipinas.
La cifra de 200 designa organizaciones objetivo, no víctimas. CrowdStrike confirma actividad posterior a la intrusión en nueve de ellas, donde el grupo instaló una puerta trasera conocida desde 2023, BLOODALCHEMY, antes de lanzar acciones de reconocimiento y ataques a contraseñas. Al menos otras doce sufrieron intentos sobre sus credenciales, incluyendo administraciones europeas.
Un operador, varias intrusiones a la vez
ARTEX organiza un agente principal, agentes planificadores y agentes ejecutores, que comparten una base común de hechos, descubrimientos y objetivos. El humano solo interviene en las bifurcaciones. Hasta ahora, CrowdStrike había observado agentes de IA asistir una intrusión a la vez. VAPOR PANDA llevó a cabo varias en paralelo, cada agente cambiando de pista cuando una vía fallaba, ya fueran aplicaciones web, servicios en la nube, contenedores, el directorio Active Directory, el correo o la VPN.
El grupo hizo funcionar ARTEX principalmente con DeepSeek, complementado por un segundo modelo comercial accesible por suscripción, que CrowdStrike no pudo identificar. En una sola intrusión, los agentes planificadores consumieron alrededor de 1.400 millones de tokens de entrada, siendo los tokens las unidades de texto que procesa un modelo. Según CrowdStrike, esta elección es deliberada: apunta a una cadena de herramientas que no depende de ningún proveedor de modelos, a partir de componentes de código abierto y suscripciones comerciales. El informe describe los motores de este dispositivo como de venta libre.
Vulnerabilidades antiguas, explotadas más rápido
Los agentes explotaron principalmente vulnerabilidades ya conocidas. En un laboratorio farmacéutico estadounidense, encadenaron una aserción SAML no firmada, un protocolo de autenticación, y una vulnerabilidad XML, hasta obtener una cuenta de administrador de la empresa. Contra una administración griega, el operador les proporcionó una exportación de directorio de 2022 cuyas claves de autenticación probablemente no habían sido cambiadas desde entonces. Una clave de cliente VPN procedente, según el operador, de una filtración de correos de mayo de 2024 también les permitió alcanzar una red interna.
CrowdStrike recomienda cambiar las claves tras cualquier exposición de datos, incluidas las conservadas en copias de seguridad o exportaciones de directorio, validar las firmas SAML e imponer IMDSv2 en AWS. También invita a buscar rastros de ARTEX, como las cadenas «artx» o «artex» en línea de comandos, y a actualizar los equipos expuestos a internet, en particular los antiguos servidores Linux. El informe de CrowdStrike considera muy probable que los grupos vinculados a China continúen adoptando este tipo de herramienta en los próximos doce meses. El servidor también dejó ver archivos de objetivos preparados para ministerios de Asuntos Exteriores en América Central y Asia, sin que CrowdStrike sepa si estas operaciones fueron lanzadas.
