Vapor Panda nutzt KI-Framework ARTEX gegen mehr als 200 Organisationen

„Agentische Werkzeuge wie ARTEX ermöglichen diese Ausweitung in hohem Tempo und erlauben es einem kleinen Team, ein breiteres Zielspektrum zu verfolgen, als es manuelle Operationen zulassen würden – statt einer vollständigen Abkehr vom etablierten Auftrag des Gegners, Zugänge zu entwickeln", erklärte CrowdStrike in einer Analyse vom Donnerstag.

Zu den von CrowdStrike aufgeführten Zielen gehören:

• die Außenministerien zweier lateinamerikanischer Staaten sowie je eines Landes in Zentralamerika und Asien
• ein Innenministerium im Nahen Osten
• Außenministerium, Präsidialamt und Amt des Premierministers eines europäischen Landes samt Verteidigungs-, Justiz-, Finanz- und Nachrichtendiensteinrichtungen
• 19 US-Organisationen aus den Bereichen Pharma, Halbleiter, Verteidigung, Nukleartechnik und Finanzwesen
• Telekommunikationsanbieter in den USA, Belgien und auf den Philippinen

Bei neun Organisationen wurden Aktivitäten nach erfolgreichem Einbruch bestätigt: Dort brachte der Angreifer BLOODALCHEMY aus, eine Ableitung von ShadowPad, gefolgt von Credential Spraying, Netzwerk-Scans und Aufklärung. Gegen mindestens zwölf weitere Organisationen – darunter US-Thinktanks und Regierungsstellen in Europa – führte Vapor Panda Password-Spraying und Credential-Scanning durch.

Kern der Operation ist der Einsatz von ARTEX zusammen mit DeepSeek und einem bislang unbekannten, abonnementbasierten kommerziellen großen Sprachmodell. Eine Armee aus Planungs- und Arbeiter-Agenten stimmt sich dabei untereinander ab, um gemeinsam vom Erstzugang über Host-Aufklärung bis zur Seitwärtsbewegung im Netz zu gelangen. Ein menschlicher Operator überwacht den Ablauf und weist die Agenten an, Webshells zu schreiben, Domänenadministrator-Passwörter zu extrahieren und die Abdeckung durch Endpunktsensoren zu ermitteln.

„Bei einem einzigen Einbruch verbrauchten die Planungsagenten von Vapor Panda in der Größenordnung von 1,4 Milliarden Eingabe-Token, was den Umfang der automatisierten Aktivität zeigt und einen weit höheren Verbrauch für die gesamte Operation nahelegt", so CrowdStrike. Anders als frühere Kampagnen, in denen KI bei einzelnen Einbrüchen assistierte, wird ARTEX auf deutlich höherer Ebene genutzt, um mehrere Einsätze parallel zu führen; der Operator greift nur steuernd ein und ergreift Maßnahmen, um Endpunktschutz zu umgehen.

Die Auswertung wiederhergestellter Protokolle zeigt die Kombination von ARTEX mit bewährten Vorgehensweisen:

• Verkettung einer unsignierten SAML-Assertion mit einer XXE-Schwachstelle (XML External Entity), um den Instance Metadata Service der Cloud abzufragen; darauf folgte die Übernahme einer Rolle, die Administrationsbefehle an Tausende Instanzen absetzen konnte, und schließlich die Eskalation bis zu einem Enterprise-Administrator-Konto.
• Ausbringen von Webshells, Missbrauch eines nicht authentifizierten Orchestrierungsdienstes zur Erlangung von Root-Rechten in einer produktiven Container-Umgebung, Auslesen von LAPS-Passwörtern (Local Administrator Password Solution) und Nutzung ressourcenbasierter eingeschränkter Delegierung, um ein privilegiertes Konto zu imitieren.
• Übergabe eines seit 2022 nicht rotierten Satzes von Authentifizierungsschlüsseln an den Agenten, der damit ein Administrator-Token fälschte und Postfächer auslas; anschließend nutzte der Agent VPN-Konfigurationen aus gesendeten Mails eines Nutzers sowie einen VPN-Client-Schlüssel aus einem angeblichen E-Mail-Leck vom Mai 2024, um ins interne Netz zu gelangen.

„In diesen Einsätzen verfolgten die Agenten mehrere Angriffspfade parallel – über Webanwendungen, Cloud-Dienste, Container-Umgebungen, Active Directory sowie Mail- und VPN-Infrastruktur hinweg", so CrowdStrike. „Sie wechselten auf andere Ansätze, wenn ein Pfad scheiterte. Diese Breite ermöglicht es einem einzelnen Operator wahrscheinlich, mehr Techniken gegen mehr Ziele gleichzeitig anzuwenden, als es manuell machbar wäre."

ARTEX hat binnen kurzer Zeit breite Verbreitung unter Bedrohungsakteuren gefunden; der Entwickler Li Puhua („Autumn-27") stellte das Projekt daraufhin auf Closed Source um. „Es orchestriert mehrere LLM-Backends, um eigenständig Aufklärung, Schwachstellenidentifikation und Ausnutzung durchzuführen, und senkt damit die technische Hürde für komplexe Einbruchskampagnen erheblich", schrieb Zscaler ThreatLabz in einem Bericht, der Anfang dieses Monats veröffentlicht wurde.

Parallel treten vier bislang nicht dokumentierte, China-zugeordnete staatlich gestützte Gruppen in Erscheinung: Hollow Panda, Overcast Panda, Titan Panda und Veiled Panda. Sie haben weltweit ein breites Spektrum an Branchen angegriffen, um Informationen zu sammeln und geistiges Eigentum zu stehlen.

Overcast Panda beschreibt CrowdStrike als „eine der operativ ausgefeiltesten und hartnäckigsten Bedrohungen für Organisationen mit nach China reisendem Personal". Die Gruppe wird mit Close-Access-Einbrüchen in Verbindung gebracht, bei denen ihre eigene Hintertür FlowCloud über direkten physischen Zugriff auf Geräte der Betroffenen während deren Aufenthalt im Land installiert wurde. FlowCloud wird per DLL-Sideloading gestartet; die Komponenten sind darauf ausgelegt, unentdeckt zu bleiben und forensischer Analyse zu widerstehen. Die Command-and-Control-Kommunikation läuft über legitime Cloud-Infrastruktur. „FlowCloud selbst ist ein ausgefeiltes, eigens entwickeltes Werkzeug, das eindeutig Overcast Panda zugeordnet ist", so CrowdStrike. „Einmal ausgebracht, verschafft FlowCloud dem Gegner dauerhaften, verdeckten Fernzugriff auf das Zielgerät und ermöglicht Keylogging, Bildschirmaufnahmen, Dateisammlung und das Abgreifen von Zugangsdaten."

Titan Panda nimmt dagegen Abrechnungssoftware für Kanzleien ins Visier und nutzt eine Schwachstelle durch einen fest einprogrammierten IIS-Machine-Key im Intapp Time Server, um über Anwaltskanzleien hinweg Code aus der Ferne auszuführen. Die erstmals im April 2026 entdeckten Angriffe führten zum Einsatz eines speicherresidenten Frameworks namens IceGiant für Aufklärung, Persistenz, Seitwärtsbewegung und Datenabfluss. Die Gruppe ist nach Einschätzung von CrowdStrike seit mindestens 2021 aktiv und kompromittierte über zwei Jahre hinweg mehrere Rechtsorganisationen in Nordamerika. „Wie Titan Panda an die Standard-Machine-Keys gelangte, ist unbekannt; eine IIS-Kompromittierung einer Kanzlei mit Intapp Time Server könnte die fest hinterlegten Schlüssel in der Konfigurationsdatei der Anwendung offengelegt haben, was ViewState-Deserialisierungsangriffe gegen jede Organisation mit Standardinstallation ermöglicht", erklärte CrowdStrike.