Связанная с Китаем группировка, которую CrowdStrike называет Vapor Panda, применила ARTEX для атак на более чем 200 организаций не меньше чем в 14 странах. Активность шла с одного контроллера в течение 11 дней начиная с 17 октября 2026 года, следует из отчёта компании.
Среди целей были государственные учреждения, операторы связи и компании из фармацевтической, полупроводниковой, оборонной, атомной и финансовой отраслей. CrowdStrike подтвердила действия после проникновения в девяти организациях: злоумышленники устанавливали бэкдор BLOODALCHEMY, сканировали сети и собирали учётные данные. Ещё 12 организаций столкнулись с подбором паролей и проверкой украденных реквизитов.
Представитель CrowdStrike сообщил CyberScoop, что примерно у 70% целей подтверждён взлом или со средней степенью уверенности обнаружены признаки успешного проникновения. Это около 140 организаций, тогда как девять случаев подтверждены напрямую по действиям атакующих внутри систем.
ARTEX представляет собой программную оболочку, которая подключает языковые модели к командной строке и другим инструментам, а затем распределяет задачи между несколькими ИИ-агентами. Vapor Panda использовала DeepSeek и вторую коммерческую модель. Оператор отдавал команды на китайском языке и вмешивался в ключевые моменты, пока агенты параллельно проверяли веб-приложения, облачные сервисы, корпоративные каталоги, почту и VPN.
При ручных атаках CrowdStrike обычно наблюдала до 40 команд в час, а ARTEX выполняла свыше 1500. В одном из эпизодов агенты воспользовались ключами из выгрузки почтового сервера за 2022 год, подделали административный токен и получили доступ к почте. CrowdStrike рекомендует после утечек менять ключи и служебные реквизиты, включая сохранённые в старых резервных копиях и выгрузках.