Mindestens neun Organisationen wurden in einer China zugeschriebenen Spionagekampagne kompromittiert, bei der ARTEX AI eingesetzt wurde, um mehr als 200 Organisationen in 14 Ländern anzugreifen, berichtete BleepingComputer am 2. November unter Berufung auf Forschende von CrowdStrike. Die Angreifer kombinierten KI-Agenten mit menschlicher Aufsicht, um Eindringversuche parallel durchzuführen, und gingen damit über die einzelnen KI-gestützten Einbrüche hinaus, die die Forschenden zuvor beschrieben hatten.
CrowdStrike führt die Gruppe unter dem Namen Vapor Panda. Die Operation begann am 17. Oktober und erreichte Ministerien, Telekommunikationsanbieter sowie Organisationen aus den Bereichen Pharma, Halbleiter, Verteidigung, Nuklearaktivitäten und Finanzwesen. Mindestens zwölf weitere hochwertige Ziele sahen sich Password-Spraying-Versuchen ausgesetzt – dem Ausprobieren von Passwörtern über viele Konten hinweg – sowie der Suche nach verwertbaren Zugangsdaten.
Die bestätigten Kompromittierungen betrafen Telekommunikationsanbieter in den USA und Belgien, US-Pharmaunternehmen sowie staatliche Organisationen in Griechenland, im Nahen Osten und in Lateinamerika.
Alte Authentifizierungsschlüssel ermöglichten Zugriff auf Postfächer
Ein Eindringen in eine griechische Regierungsstelle zeigt die praktischen Folgen der Arbeit der Agenten. Laut CrowdStrike entnahmen sie Authentifizierungsschlüssel aus einem 2022 erstellten Verzeichnis-Export eines Mail-Servers und nutzten diese, um ein gefälschtes Administrator-Token zu erstellen, einen digitalen Berechtigungsnachweis, der Administratorzugriff gewährt. Damit konnten sie Postfächer lesen.
Über die gesamte Kampagne hinweg untersuchten die Agenten Ziele, nutzten Software-Schwachstellen aus, sammelten Zugangsdaten und installierten Web-Shells – Skripte, die Angreifern Fernzugriff auf kompromittierte Server verschaffen. Scheiterte ein Weg, probierten sie andere aus.
Menschliche Operatoren blieben beteiligt. Laut CrowdStrike gaben sie den Agenten Anweisungen auf Chinesisch und übernahmen an kritischen Entscheidungspunkten selbst die Kontrolle. Neben ARTEX setzte Vapor Panda DeepSeek sowie ein weiteres, nicht identifiziertes kommerzielles Sprachmodell ein, um Agenten zu koordinieren, die für Planung und Durchführung der Arbeit bei gleichzeitigen Eindringversuchen zuständig waren.
Forschende gehen davon aus, dass ein einzelner Eindringversuch mehr als 1,4 Milliarden Eingabe-Tokens verbrauchte – Texteinheiten, die Sprachmodellen übergeben werden.
Die Operatoren legten außerdem ausdrücklich fest, wo die Agenten arbeiten sollten: Windows-Rechner mit dem Endpoint-Schutz CrowdStrike Falcon sollten sie umgehen und sich auf Hosts ohne diesen Schutz konzentrieren. Davon unabhängig stellte CrowdStrike fest, dass BLOODALCHEMY gegen staatliche Stellen in Lateinamerika und im Nahen Osten eingesetzt wurde. Das Backdoor, also Software für verdeckten Zugriff, ist seit 2023 aktiv.
ARTEX auch in einem Angriff auf DIVD identifiziert
ARTEX wurde von chinesischen Entwicklern als Penetrationstest-Suite entwickelt, also als Software, die Sicherheit durch simulierte Eindringversuche prüfen soll. Das Werkzeug koordiniert mehrere KI-Agenten. Obwohl es zunächst als Open Source veröffentlicht wurde, machten die Entwickler es nach dem Einsatz bei realen Angriffen, darunter eine Kampagne gegen südkoreanische Finanzinstitute, proprietär.
Eine weitere Organisation hat ARTEX nun in ihrem eigenen Vorfallbericht genannt. Das niederländische Institut für Vulnerability Disclosure, kurz DIVD, erklärte, das Tool habe während eines Angriffs auf sein Netzwerk im September 2026 autonom gearbeitet. BleepingComputer berichtete über die neuesten Details des Instituts aus einem LinkedIn-Beitrag.
Laut DIVD benötigte der Angreifer nur zwölf Minuten, um vom ersten Zugang zu Root-Rechten aufzusteigen, der höchsten Ebene der Systemkontrolle. Der Agent kombinierte einen Zammad-Zero-Day – eine bisher unbekannte Schwachstelle – mit einem weiteren Zero-Day, der es ihm erlaubte, seine Rechte lokal zu erweitern.
Mehrere Aktivitäten liefen gleichzeitig ab: Der Agent untersuchte ein kompromittiertes Postfach, erkundete das interne Netzwerk, extrahierte Login-Token und versuchte, Passwörter zurückzusetzen. Laut dem neuesten Bericht von DIVD belief sich der Umfang auf mehr als 450.000 Anfragen und 2.500 mit dem Angriff verbundene Skripte, eine Aktivität, die DIVD als „super laut und chaotisch“ beschrieb.
