Wprowadzenie do problemu
Wykorzystanie agentowej sztucznej inteligencji w operacjach ofensywnych przestaje być eksperymentem, a staje się realnym elementem współczesnych kampanii cyberwywiadowczych. Najnowsze ustalenia wskazują, że framework ARTEX AI został użyty przez grupę Vapor Panda do prowadzenia częściowo zautomatyzowanych intruzji przeciwko organizacjom rządowym oraz podmiotom działającym w sektorach krytycznych.
To jakościowa zmiana w sposobie prowadzenia ataków. Zamiast wspierać pojedyncze etapy operacji, AI została wykorzystana do równoległego prowadzenia wielu ścieżek ataku, przy jednoczesnym zachowaniu nadzoru człowieka nad kluczowymi decyzjami operacyjnymi.
W skrócie
- Kampania przypisywana grupie Vapor Panda rozpoczęła się 17 października 2026 roku.
- Objęła ponad 200 organizacji w co najmniej 14 krajach.
- Na celowniku znalazły się ministerstwa, operatorzy telekomunikacyjni oraz firmy z sektorów farmaceutycznego, półprzewodnikowego, obronnego, nuklearnego i finansowego.
- Napastnicy używali ARTEX AI wraz z modelami językowymi do automatyzacji rekonesansu, eksploatacji podatności, wdrażania web shelli, pozyskiwania poświadczeń i ruchu bocznego.
- W części incydentów potwierdzono wdrożenie backdoora BLOODALCHEMY.
Kontekst i historia
ARTEX został pierwotnie udostępniony jako otwartoźródłowy framework do testów penetracyjnych, jednak z czasem zaczął pojawiać się w działaniach ofensywnych prowadzonych poza kontrolowanym środowiskiem laboratoryjnym. Obecna kampania pokazuje dojrzalszy etap wykorzystania tego typu narzędzi przez aktora ukierunkowanego na szpiegostwo cybernetyczne.
Według ujawnionych analiz nie chodziło o pojedynczy incydent, lecz o szeroko zakrojoną serię równoległych operacji przeciwko wysokowartościowym celom. Ataki nie ograniczały się do automatycznego skanowania czy prostej enumeracji usług. Zgromadzone dane wskazują na połączenie workflow agentowego AI z klasycznym arsenałem APT, obejmującym wykorzystanie wyciekłych kluczy uwierzytelniających, nadużycia infrastruktury pocztowej i VPN, password spraying oraz wdrażanie trwałych implantów.
Analiza techniczna
Z technicznego punktu widzenia ARTEX działał jako framework wieloagentowy. Główny agent koordynował działanie agentów planujących i wykonawczych, które współdzieliły informacje o celach, wynikach rekonesansu oraz kolejnych zadaniach. Taki model umożliwiał jednoczesne testowanie wielu ścieżek ataku i szybkie przełączanie się na alternatywne techniki w przypadku niepowodzenia pierwotnego wektora.
Istotne jest to, że operator pozostawał „w pętli” i wydawał polecenia w momentach wymagających decyzji. Oznacza to, że AI nie zastępowała człowieka, lecz znacząco zwiększała tempo i skalę operacji. Agenci wykonywali rekonesans hostów i usług, identyfikowali podatności, wdrażali web shelle, pozyskiwali poświadczenia oraz sprawdzali możliwości eskalacji uprawnień i dalszego ruchu w środowisku ofiary.
W opisanych incydentach pojawiło się szerokie spektrum technik. W jednym z przypadków wykorzystano niepodpisane asercje SAML oraz podatność XXE do odpytywania usługi Instance Metadata Service w chmurze, co doprowadziło do przejęcia roli z uprawnieniami administracyjnymi. W innym środowisku napastnicy uzyskali dostęp root do kontenera, odczytywali hasła LAPS i nadużywali mechanizmu resource-based constrained delegation do podszywania się pod uprzywilejowane konto.
Szczególnie niepokojący był incydent dotyczący podmiotu rządowego w Grecji. Napastnicy wykorzystali historyczny eksport katalogu serwera pocztowego z 2022 roku, zawierający klucze uwierzytelniające, które prawdopodobnie nie zostały zrotowane. Na tej podstawie wygenerowano token administratora, uzyskano dostęp do skrzynek pocztowych, a następnie wykorzystano konfiguracje VPN znalezione w korespondencji oraz dodatkowy klucz klienta VPN z wcześniejszego wycieku, aby rozszerzyć dostęp do sieci wewnętrznej.
Kampania pokazała również świadome omijanie zabezpieczeń endpointowych. Operatorzy mieli instruować agentów, by identyfikowali systemy Windows pozbawione sensora EDR i właśnie na nich koncentrowali dalsze działania. To dowód, że logika unikania telemetrii została wbudowana bezpośrednio w proces działania agentów.
W części środowisk wdrożono również malware BLOODALCHEMY. Mechanizm infekcji polegał na użyciu legalnego pliku binarnego przemianowanego na svchost.exe do załadowania złośliwej biblioteki DLL, która następnie odszyfrowywała właściwy ładunek. Taki łańcuch wskazuje na zastosowanie technik DLL side-loading oraz masquerading w celu utrudnienia wykrycia.
Konsekwencje i ryzyko
Najważniejszą konsekwencją tej kampanii jest demonstracja skali, jaką daje agentowa automatyzacja. Niewielki zespół operatorski może równocześnie prowadzić wiele operacji przeciwko różnym organizacjom, skracając czas od uzyskania dostępu początkowego do eskalacji uprawnień i eksfiltracji danych.
Dla obrońców oznacza to wzrost ryzyka na kilku poziomach. Po pierwsze, automatyzacja zwiększa szybkość eksploatacji i liczbę testowanych wektorów. Po drugie, AI może dostosowywać swoje działania do warunków panujących w środowisku ofiary. Po trzecie, kampania pokazała, że stare wycieki, eksporty katalogów i dawne sekrety nadal mogą stanowić aktywny wektor wejścia, jeśli organizacja nie przeprowadziła pełnej rotacji poświadczeń i materiału kryptograficznego.
Dodatkowym zagrożeniem jest łączenie technik chmurowych, tożsamościowych, kontenerowych i on-premise w jednej operacji. Taka wielowarstwowość utrudnia wykrycie i wymaga skutecznej korelacji sygnałów z wielu domen telemetrycznych.
Rekomendacje
Organizacje powinny potraktować ten przypadek jako wyraźny sygnał ostrzegawczy i przeprowadzić przegląd gotowości na ataki wspierane przez AI. W pierwszej kolejności warto zrotować klucze podpisujące, klucze preautoryzacji, sekrety usługowe oraz inne poświadczenia, zwłaszcza jeśli mogły znaleźć się w backupach, eksportach katalogowych lub historycznych wyciekach.
- Wymusić poprawną walidację podpisów SAML i ograniczyć zaufanie do niezweryfikowanych asercji.
- Ograniczyć uprawnienia ról chmurowych do niezbędnego minimum oraz zabezpieczyć dostęp do usług metadanych instancji.
- Regularnie łatać systemy publicznie dostępne, w tym serwery Linux, aplikacje webowe, urządzenia brzegowe i platformy orkiestracyjne.
- Zapewnić pełne pokrycie EDR/XDR na stacjach roboczych i serwerach, także tych mniej eksponowanych.
- Prowadzić threat hunting pod kątem web shelli, nietypowych parametrów linii poleceń, nowych ról chmurowych oraz oznak automatycznego działania agentów.
- Monitorować nietypowe użycie tokenów, dostęp do skrzynek administratorów, nadużycia VPN i próby password sprayingu.
Podsumowanie
Przypadek wykorzystania ARTEX AI przez grupę Vapor Panda pokazuje, że agentowa sztuczna inteligencja staje się praktycznym narzędziem skalowania operacji cyberwywiadowczych. Kluczowa zmiana nie polega wyłącznie na automatyzacji pojedynczych zadań, lecz na możliwości równoległego prowadzenia wielu intruzji przy centralnym nadzorze operatora.
Dla organizacji oznacza to konieczność szybszej detekcji, lepszej higieny poświadczeń, pełniejszego pokrycia telemetrycznego i przygotowania na ataki, które będą jednocześnie bardziej zautomatyzowane oraz bardziej adaptacyjne niż tradycyjne kampanie APT.
Źródła
- https://www.bleepingcomputer.com/news/security/chinese-hackers-use-artex-ai-in-automated-attacks-against-200-orgs/
- https://www.crowdstrike.com/en-us/blog/vapor-panda-uses-artex-to-scale-global-campaign/
- https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
- https://www.elastic.co/security-labs/threat-command/disclosing-the-bloodalchemy-backdoor