El 17 de octubre de 2026 comenzó una campaña atribuida por CrowdStrike al actor Vapor Panda, que empleó ARTEX AI, un marco de pruebas de penetración multiagente, contra más de 200 organizaciones de 14 países. Entre los objetivos había ministerios, operadores de telecomunicaciones y entidades de los sectores farmacéutico, de semiconductores, defensa, nuclear y financiero.
Los investigadores confirmaron al menos nueve organizaciones comprometidas y actividad de password spraying y escaneo de credenciales contra otros 12 objetivos de alto valor. Entre las víctimas figuran operadores de telecomunicaciones de Estados Unidos y Bélgica, organismos gubernamentales de Grecia, Oriente Medio y América Latina, y empresas farmacéuticas estadounidenses.
Vapor Panda combinó ARTEX AI con DeepSeek y otro modelo de lenguaje comercial no identificado para coordinar la planificación y varios agentes de trabajo en intrusiones simultáneas. Los operadores emitieron instrucciones en chino e intervinieron en puntos críticos, mientras los agentes realizaron reconocimiento, explotaron vulnerabilidades, desplegaron web shells, obtuvieron credenciales y buscaron rutas alternativas de ataque.
En una intrusión contra una entidad gubernamental griega, los agentes falsificaron un token de administrador y accedieron a buzones mediante claves de autenticación obtenidas de una exportación de un directorio de servidores de correo de 2022. Los operadores también indicaron a los agentes que ignoraran equipos Windows protegidos por Falcon, la solución de protección de endpoints de CrowdStrike, y que se centraran en sistemas sin esa protección. En un caso, los agentes consumieron más de 1.400 millones de tokens de entrada.
CrowdStrike también identificó el despliegue de la puerta trasera BLOODALCHEMY, activa desde 2023, contra organismos gubernamentales de América Latina y Oriente Medio. ARTEX AI fue desarrollado por programadores chinos y se publicó inicialmente como código abierto, aunque posteriormente pasó a ser propietario tras su uso en ataques reales, incluida una campaña contra entidades financieras de Corea del Sur.
Fuente: BleepingComputer.
Más noticias
Manipulan el lanzador de NIKKE para distribuir malware de acceso remoto y robo de datos
Google Calendar se utiliza en una campaña de phishing que secuestra sesiones y evita MFA
Hackers explotan vulnerabilidades n-day en ataques sin clic contra dispositivos iOS y Android
Comprometen las actualizaciones de cPGuard para distribuir un backdoor y robar datos
Google desmantela la botnet XCPE con más de 1,3 millones de dispositivos Android
DreamHost confirma una filtración que expuso credenciales FTP y sesiones de webmail