CrowdStrike reporta que VAPOR PANDA usó agentes de IA contra más de 200 objetivos; nueve con actividad posterior al acceso confirmada
CrowdStrike observó la campaña durante 11 días en al menos 14 países: confirmó actividad posterior al acceso en nueve organizaciones y detectó pulverización de contraseñas o escaneo de credenciales en al menos 12 más.
Nota elaborada con asistencia de inteligencia artificial y revisada según la política editorial de RX Noticias.
Según un informe de CrowdStrike, VAPOR PANDA utilizó agentes de inteligencia artificial para ejecutar intrusiones paralelas contra más de 200 organizaciones de al menos 14 países durante 11 días, pero la empresa confirmó actividad posterior al acceso en nueve de ellas.
El controlador del marco ARTEX fue observado desde el 17 de octubre. Los objetivos descritos por la compañía incluyeron ministerios de Relaciones Exteriores en América Latina, Europa, Asia y Medio Oriente; organizaciones estadounidenses de los sectores farmacéutico, de semiconductores, defensa, nuclear y think tanks; y proveedores de telecomunicaciones. El informe también describe una operación dirigida contra 19 organizaciones estadounidenses de sectores estratégicos.
Adam Meyers, vicepresidente sénior de Counter Adversary Operations de CrowdStrike, dijo a CyberScoop que era «la primera vez que estamos viendo a un actor estatal adversario con agentes de IA a esta escala» y que probablemente se verían más operaciones de este tipo.
### Más de 200 objetivos no equivale a 200 intrusiones confirmadas
CrowdStrike confirmó actividad posterior al acceso en nueve organizaciones. Entre las acciones descritas figuran el acceso a entornos, el despliegue de la puerta trasera BLOODALCHEMY, la pulverización de credenciales, el escaneo de redes y el reconocimiento.
La compañía observó además pulverización de contraseñas o escaneo de credenciales contra al menos 12 organizaciones adicionales, pero no presentó esos casos como intrusiones confirmadas. Por eso, las más de 200 organizaciones objetivo y las nueve con actividad posterior al acceso son medidas distintas dentro del informe.
### Un operador humano siguió tomando decisiones
Los registros recuperados muestran que un operador humano impartía instrucciones en chino y dirigía a los agentes en puntos de decisión. ARTEX coordinaba agentes principales, de planificación y de trabajo para avanzar por distintas fases de una intrusión.
VAPOR PANDA operó ARTEX principalmente con DeepSeek y con un segundo modelo comercial por suscripción cuyo proveedor CrowdStrike no pudo confirmar. En una sola intrusión, los agentes de planificación consumieron del orden de 1.400 millones de tokens de entrada. El informe describe además una combinación de componentes de código abierto y suscripciones comerciales de modelos de lenguaje.
### El informe no identifica a las organizaciones afectadas
CrowdStrike describe a VAPOR PANDA como un adversario vinculado a China y señala que, desde 2021, había apuntado principalmente a gobiernos, think tanks y organizaciones de energía y extractivas en Europa, Norteamérica, Oceanía y Reino Unido para mantener accesos de largo plazo. Para la empresa, esta es la primera campaña observada del grupo que utiliza herramientas de intrusión basadas en IA y amplía el foco hacia los sectores farmacéutico, de semiconductores, nuclear y defensa, además de ministerios de Relaciones Exteriores en nuevas regiones.
El reporte describe intrusiones extensas en los ministerios de Relaciones Exteriores de dos países latinoamericanos y señala que un tercero habría sido comprometido, pero no revela sus nombres. Chile no aparece identificado en el documento.
El informe tampoco identifica a las organizaciones afectadas ni al proveedor del segundo modelo comercial. CrowdStrike no indica si los proveedores de los modelos conocieron o actuaron frente a la operación.