Selon CrowdStrike, le groupe chinois VAPOR PANDA a visé plus de 200 organisations avec le framework d'agents ARTEX

CrowdStrike a publié le 29 octobre une étude décrivant un palier dans le piratage assisté par IA : un groupe d'espionnage lié à la Chine, qu'elle nomme VAPOR PANDA, a mené de nombreuses intrusions simultanées grâce à un framework agentique baptisé ARTEX. C'est la première fois que l'éditeur observe ce groupe recourir à de tels outils.

Ce que CrowdStrike a observé

Selon le rapport, l'activité a commencé le 17 octobre et, en 11 jours, le groupe a utilisé ARTEX contre plus de 200 organisations dans au moins 14 pays. Une activité post-exploitation a été confirmée chez neuf d'entre elles, et au moins 12 autres ont subi des attaques par pulvérisation de mots de passe ou des balayages d'identifiants. Parmi les cibles figurent des ministères des Affaires étrangères sur plusieurs continents, un ministère de l'Intérieur au Moyen-Orient, des entreprises américaines des semi-conducteurs, de la défense, de la pharmacie, du nucléaire et de la finance, des groupes de réflexion et des opérateurs télécoms aux États-Unis, en Belgique et aux Philippines.

ARTEX repose sur un agent principal qui coordonne des agents planificateurs et exécutants autour d'un registre commun de faits et d'objectifs ; ceux-ci progressent de l'accès initial au déplacement latéral et changent de voie en cas d'échec. D'après CrowdStrike, ils s'appuyaient principalement sur DeepSeek, ainsi que sur un second modèle commercial, par abonnement, qu'elle n'a pas pu identifier. Lors d'une seule intrusion, les agents de planification ont consommé environ 1,4 milliard de jetons en entrée.

Une opération toujours dirigée par un humain

Un opérateur donnait ses instructions en chinois aux moments décisifs ; il a par exemple demandé aux agents de repérer les machines Windows dépourvues du capteur Falcon de CrowdStrike, afin de concentrer la suite sur les postes non protégés. Les agents ont exploité une assertion SAML non signée et une faille XXE pour obtenir des identifiants cloud, déposé des web shells et réutilisé d'anciennes clés et configurations VPN ayant fuité pour atteindre un réseau gouvernemental grec. Dans deux ministères, le groupe a installé BLOODALCHEMY, une porte dérobée documentée pour la première fois en 2023. CrowdStrike précise que cette campagne est distincte de l'activité ARTEX signalée par Microsoft sous le nom Storm-0940.

Portée et limites

Ces constats émanent d'un seul éditeur, n'ont pas été confirmés de manière indépendante et les victimes ne sont pas nommées. CrowdStrike juge très probable que les acteurs liés à la Chine continuent d'adopter des frameworks comme ARTEX au cours des douze prochains mois, couplés à des modèles commerciaux, pour multiplier les intrusions avec de petites équipes. Elle recommande notamment de renouveler clés de signature et identifiants après toute exposition suspectée, d'imposer la vérification des signatures SAML et de déployer une solution EDR jusque sur les serveurs internes.