Die China zugeordnete Hackergruppe VAPOR PANDA hat nach Erkenntnissen von CrowdStrike ein KI-Agenten-Framework genutzt, um innerhalb von elf Tagen mehr als 200 Organisationen weltweit ins Visier zu nehmen. Das Sicherheitsunternehmen beschreibt die Kampagne in einem am 29. Oktober 2026 veröffentlichten Bericht. Bemerkenswert ist weniger die einzelne Technik als die Arbeitsweise: Ein menschlicher Operator steuerte mehrere parallele Angriffe, die KI-Agenten erledigten einen Großteil der Arbeit. Betrieben wurde das Framework laut CrowdStrike vor allem mit dem chinesischen Sprachmodell DeepSeek.
Alle Angaben in diesem Beitrag stammen aus dem Bericht von CrowdStrike. Die Zuordnung zu VAPOR PANDA ist eine Einschätzung des Unternehmens, unabhängig bestätigt ist sie nicht.
Key Takeaways
- Ab dem 17. Oktober 2026 griff VAPOR PANDA laut CrowdStrike mit dem Framework ARTEX mehr als 200 Organisationen in mindestens 14 Ländern an, darunter Außenministerien, Rüstungs-, Halbleiter- und Pharmaunternehmen sowie Telekommunikationsanbieter.
- Bestätigte Aktivitäten nach einem Einbruch gab es bei neun Organisationen, Passwort-Spraying und Scans gegen mindestens zwölf weitere.
- ARTEX lief vor allem mit DeepSeek, ergänzt um ein zweites kommerzielles Sprachmodell, das CrowdStrike nicht identifizieren konnte.
- Der Operator wies die Agenten an, gezielt Windows-Rechner ohne CrowdStrike-Falcon-Sensor zu suchen.
- CrowdStrike empfiehlt unter anderem, Schlüssel nach Datenlecks zu rotieren, SAML-Signaturen zu erzwingen und IMDSv2 zu verlangen.
Was über die Kampagne von VAPOR PANDA bekannt ist
CrowdStrike OverWatch beobachtete die Aktivität nach eigenen Angaben ab dem 17. Oktober 2026 über einen einzelnen ARTEX-Controller, den CrowdStrike Intelligence der Infrastruktur von VAPOR PANDA zuordnet. Dieser Controller legte zeitweise Werkzeuge, Zieldateien und Gesprächsprotokolle der Agenten offen. Daraus ging hervor, dass mehrere „Tasks“, wie ARTEX einzelne Angriffe nennt, parallel gegen verschiedene Ziele liefen.
Die Liste der Ziele ist breit. VAPOR PANDA soll umfangreich in die Außenministerien zweier lateinamerikanischer Länder eingedrungen sein und ein drittes wahrscheinlich kompromittiert haben. Zieldateien für Außenministerien in Mittelamerika und Asien lagen bereit. Ein Innenministerium im Nahen Osten wurde kompromittiert. Ein Einsatz richtete sich gegen ein einzelnes europäisches Land, darunter Außenministerium, Präsidialamt, Büro des Regierungschefs sowie Verteidigungs-, Justiz-, Finanz- und Geheimdienststellen. Welches Land das ist, nennt CrowdStrike nicht. Ein weiterer Einsatz zielte auf 19 US-Organisationen aus Pharma, Halbleiter, Rüstung, Nuklear- und Finanzsektor. Dazu kamen Telekommunikationsanbieter in den USA, Belgien und auf den Philippinen.
Bestätigt hat CrowdStrike Aktivitäten nach dem Einbruch bei neun Organisationen: Die Angreifer verschafften sich Zugang, installierten die Hintertür BLOODALCHEMY und betrieben danach Credential-Spraying, Netzwerkscans und Aufklärung. Gegen mindestens zwölf weitere Organisationen, darunter US-Thinktanks und europäische Regierungsstellen, liefen Passwort-Spraying und Credential-Scans.
Wie ARTEX arbeitet
ARTEX koordiniert laut CrowdStrike einen Hauptagenten mit untergeordneten Planungs- und Arbeitsagenten. Sie teilen sich einen Graphen aus Fakten, Funden und Zielen und treiben jeden Angriff vom ersten Zugang über die Aufklärung auf dem Host bis zur seitlichen Ausbreitung im Netzwerk voran. Das Framework setzt auf Open-Source-Komponenten, die auf kommerzielle Abos für Sprachmodelle aufsetzen. CrowdStrike sieht darin ein Beispiel, wie sich skalierbare Angriffe mit mehreren Agenten weitgehend aus öffentlich verfügbaren Bausteinen zusammensetzen lassen.
Ein Mensch blieb im Spiel. Wiedergefundene Protokolle zeigen einen Operator, der Anweisungen auf Chinesisch gab, markiert als „menschliche Anweisung“ und mit Zeitstempeln in chinesischer Normalzeit. Er wies die Agenten an, Webshells zu schreiben, Passwörter von Domänen-Administratoren zu erbeuten und die Abdeckung mit Endpoint-Sensoren zu erfassen. Laut CrowdStrike griff der Operator nur an Entscheidungspunkten ein, während die Agenten mehrere Angriffe gleichzeitig vorantrieben. In einem einzelnen Einbruch verbrauchten die Planungsagenten demnach eine Größenordnung von 1,4 Milliarden Eingabe-Tokens.
Zur Einordnung: ARTEX ist nicht neu. CrowdStrike hat das Framework nach eigenen Angaben schon bei finanziell motivierten und nicht zugeordneten Akteuren gesehen. Microsoft hatte am 21. Oktober über ARTEX-Aktivität unter der Bezeichnung Storm-0940 berichtet; CrowdStrike betont, die jetzt beschriebene Kampagne sei davon getrennt. Über den Einsatz von ARTEX gegen südkoreanische Banken haben wir im Beitrag KI-Cyberangriff auf Banken berichtet.
Bekannte Techniken, neues Tempo
Die Beispiele aus dem Bericht zeigen, dass die Agenten vor allem etablierte Angriffstechniken kombinierten:
- Bei einem US-Pharmaunternehmen verknüpfte ein Agent eine nicht signierte SAML-Assertion mit einer XXE-Lücke, um den Instance Metadata Service der Cloud abzufragen. So erhielt er eine Rolle, die Verwaltungsbefehle an Tausende Instanzen senden konnte, und eskalierte bis zu einem Enterprise-Administratorkonto.
- Bei einem zweiten Pharmaunternehmen installierte ein Agent Webshells, missbrauchte einen nicht authentifizierten Orchestrierungsdienst für Root-Zugriff in einer produktiven Container-Umgebung, las LAPS-Passwörter aus und nutzte ressourcenbasierte eingeschränkte Delegierung, um ein privilegiertes Konto zu imitieren.
- Gegen eine griechische Regierungsstelle lieferte der Operator einen Verzeichnis-Export des Mailservers von 2022 mit Authentifizierungsschlüsseln, die wahrscheinlich nie rotiert wurden. Der Agent fälschte damit ein Administrator-Token, las Postfächer und gelangte über VPN-Konfigurationen aus gesendeten Mails ins interne Netz.
Laut CrowdStrike verfolgten die Agenten mehrere Angriffswege parallel, über Webanwendungen, Cloud-Dienste, Container, Active Directory sowie Mail- und VPN-Infrastruktur, und wichen bei Fehlschlägen auf andere Wege aus. Das erlaube einem einzelnen Operator, mehr Techniken gegen mehr Ziele einzusetzen, als manuell machbar wäre. Ähnliches hatten wir beim Fall eines Einzeltäters beobachtet, über den wir im Beitrag KI-Agenten-Hacking berichtet haben.
Gezielte Suche nach ungeschützten Rechnern
Ein Detail betrifft CrowdStrike direkt. Bei einem globalen Pharmaunternehmen wies der Operator die Agenten sinngemäß an, in der Domäne Windows-Rechner ohne „Falke“ zu finden und das anhand von Prozesslisten und Ordnerstrukturen zu erkennen. „Falke“ ist laut CrowdStrike in chinesischen Red-Team-Kreisen Slang für den Falcon-Sensor des Unternehmens. Die Prüfung der Sensorabdeckung war damit direkter Teil des Agenten-Workflows: Die Angreifer konzentrierten sich auf Rechner ohne Schutz.
Diese Passage sollte man mit etwas Abstand lesen. Sie stammt von einem Anbieter, der Endpoint-Schutz verkauft, und endet in einer Empfehlung für das eigene Produkt. Die eigentliche Lehre ist allgemeiner: Rechner ohne EDR-Agenten, ob „unwichtige“ Server oder vergessene Systeme, sind für automatisierte Angreifer die bevorzugten Ziele.
BLOODALCHEMY und Indikatoren
In einem Innenministerium im Nahen Osten und einem lateinamerikanischen Außenministerium setzte VAPOR PANDA die Hintertür BLOODALCHEMY ein, die erstmals im Oktober 2023 öffentlich dokumentiert wurde. Die Angreifer nutzten eine legitime, in svchost.exe umbenannte GameHook-Datei, um eine bösartige DLL namens graphics-hook-filter64.dll zu laden, die die eigentliche Nutzlast entschlüsselte. CrowdStrike veröffentlicht im Bericht Command-and-Control-Domains, IP-Adressen und Datei-Hashes. Für die Suche nach ARTEX selbst nennt das Unternehmen Kommandozeilenparameter mit den Zeichenketten „artx“ oder „artex“, Cloud-Rollen mit dem Präfix „artx“ und das Verzeichnis C:\ProgramData\artx5v\.
Was Sicherheitsteams jetzt tun sollten
Die Empfehlungen von CrowdStrike sind auch ohne Falcon umsetzbar:
- Signaturschlüssel, Pre-Authentication-Keys und Dienstkonten nach jedem vermuteten Datenleck rotieren, auch wenn die Schlüssel nur in alten Backups oder Verzeichnis-Exporten stecken.
- SAML-Signaturprüfung erzwingen, IMDSv2 in der Cloud verlangen und Rollen mit Befehlsrechten auf möglichst wenige Instanzen beschränken.
- Nach den genannten ARTEX-Markern und den veröffentlichten Indikatoren suchen.
- Internetfähige Appliances patchen, insbesondere langlebige Linux-Server.
- EDR-Schutz flächendeckend ausrollen, auch auf Servern, die als nicht aus dem Internet erreichbar gelten.
Der griechische Fall zeigt besonders deutlich, warum alte Lecks gefährlich bleiben: Ein Export von 2022 reichte, weil die Schlüssel darin nicht ausgetauscht worden waren.
Einordnung
CrowdStrike wertet die Kampagne als Eskalation: von KI-Unterstützung bei einzelnen Einbrüchen hin zu mehreren gleichzeitigen Angriffen, die ein Mensch nur noch lenkt. Für VAPOR PANDA sei es der erste beobachtete Einsatz KI-gestützter Angriffswerkzeuge und eine deutliche Ausweitung auf neue Branchen und Regionen. Das Unternehmen erwartet mit hoher Wahrscheinlichkeit, dass chinesische Akteure solche Frameworks in den nächsten zwölf Monaten weiter übernehmen.
Ob die Zahl von mehr als 200 Organisationen gezielte Angriffe oder auch breite Scans umfasst, lässt sich aus dem Bericht nicht im Detail ablesen. Bestätigt sind neun Kompromittierungen. Klar ist aber: KI-Agenten senken die Kosten für parallele, hartnäckige Angriffe. Verteidiger müssen sich darauf einstellen, dass bekannte Schwächen schneller und auf breiterer Front ausgenutzt werden. Der vollständige Bericht inklusive aller Indikatoren steht im CrowdStrike-Blog.
