✨︎ Resumen (TL;DR):
- CrowdStrike vincula a VAPOR PANDA con China; el grupo usó agentes de IA contra más de 200 organizaciones en al menos 14 países.
- La campaña duró 11 días, a partir del 17 de octubre de 2026; la firma confirmó acceso y actividad posterior en nueve organizaciones.
- ARTEX coordinó tareas en paralelo con un modelo de DeepSeek y otro modelo comercial, pero el informe no confirma intrusiones en todos los objetivos ni una cifra de datos extraídos.
CrowdStrike atribuye a VAPOR PANDA, un grupo al que vincula con China, una campaña que usó agentes de IA contra más de 200 organizaciones en al menos 14 países durante 11 días, a partir del 17 de octubre de 2026. La firma confirmó actividad posterior al acceso en nueve organizaciones. El alcance refleja el trabajo en paralelo que coordinó ARTEX, pero el reporte no presenta a todos los objetivos como intrusiones consumadas.
ARTEX coordinó el trabajo en paralelo
ARTEX es una herramienta que coordina agentes de IA para planear y ejecutar tareas en paralelo. La operación combinó ARTEX con un modelo de DeepSeek y otro modelo comercial cuya identidad CrowdStrike no pudo confirmar.
La firma observó intentos de acceso desde un mismo controlador de ARTEX. Ese controlador dejó expuestos archivos y transcripciones de los agentes.
Según las transcripciones examinadas por CrowdStrike, un operador humano daba instrucciones en chino y redirigía el trabajo en puntos de decisión. La cantidad de objetivos refleja esa capacidad de simultaneidad, mientras que el número de accesos confirmados refleja lo que la firma pudo observar en sus registros.
Nueve intrusiones confirmadas, no 200
En nueve organizaciones, CrowdStrike afirma haber confirmado el acceso, la instalación de la puerta trasera BLOODALCHEMY y actividad posterior, como reconocimiento de redes y búsqueda de credenciales.
Además, detectó pruebas de contraseñas y revisión de credenciales contra al menos otras 12 entidades. El informe no presenta a las más de 200 organizaciones como víctimas de intrusiones consumadas ni ofrece una cifra total de datos extraídos.
Los objetivos incluyeron cancillerías de América Latina, Europa, Asia y Oriente Medio. CrowdStrike también describió empresas de telecomunicaciones y organizaciones estadounidenses de los sectores farmacéutico, de semiconductores y de defensa.
La misma herramienta no identifica al operador
El 21 de octubre de 2026, Microsoft informó que Storm-0940, otro grupo vinculado con China, había usado ARTEX para automatizar ataques contra cientos de organizaciones. CrowdStrike señala expresamente que su investigación sobre VAPOR PANDA corresponde a una campaña separada.
ARTEX también apareció en la investigación sobre ataques a bancos surcoreanos que FomoEra cubrió a comienzos de octubre. En ese informe, CrowdStrike no atribuyó la actividad a un grupo con nombre. Compartir la misma herramienta no basta para identificar al mismo operador.
Reuters informó el 9 de octubre de 2026 que el desarrollador de ARTEX anunció el cierre del código y el retiro del repositorio público después de que se conociera su uso en Corea del Sur. La campaña descrita por CrowdStrike comenzó ocho días después. Su informe no precisa qué copia o versión de ARTEX empleó VAPOR PANDA.
La atribución de la nueva campaña y el recuento de nueve intrusiones proceden de CrowdStrike. La evidencia pública expuesta por la firma permite describir una operación de amplio alcance dirigida por una persona con apoyo de agentes, pero no establecer cuántas de las otras organizaciones sufrieron un acceso ni cuánto material fue extraído.
El reporte deja dos cifras separadas: más de 200 objetivos y nueve intrusiones confirmadas.
