CrowdStrike attribue à VAPOR PANDA une campagne ARTEX visant plus de 200 organisations

Ce que rapporte CrowdStrike

CrowdStrike affirme que VAPOR PANDA a utilisé l’outil agentique ARTEX à partir du 17 octobre 2026 lors d’une campagne visant plus de 200 organisations dans au moins 14 pays. Parmi les cibles décrites figurent des ministères des Affaires étrangères, des entités gouvernementales, des entreprises des secteurs pharmaceutique, des semi-conducteurs, de la défense et de la finance, ainsi que des opérateurs de télécommunications. Ces chiffres proviennent de l’enquête de CrowdStrike ; ils ne constituent pas un décompte indépendant des organisations touchées.

Il est essentiel de distinguer les cibles des intrusions confirmées pour interpréter l’ampleur de l’opération. CrowdStrike indique avoir confirmé une activité après l’accès initial dans neuf organisations, où l’entreprise a observé le déploiement de la porte dérobée BLOODALCHEMY et des opérations ultérieures, notamment de la reconnaissance, de l’analyse de réseaux et des tentatives visant à obtenir des identifiants. CrowdStrike signale également des tentatives de recherche d’identifiants ou de pulvérisation de mots de passe contre au moins douze autres organisations. Cela ne signifie pas que toutes les organisations visées ont subi une intrusion avérée.

Le rôle d’ARTEX, des modèles et de l’opérateur humain

ARTEX coordonne un agent principal avec des agents planificateurs et des agents exécutants. D’après les transcriptions analysées par CrowdStrike, ceux-ci partageaient des informations et pouvaient prendre en charge différentes étapes d’une opération, de l’accès initial à la reconnaissance des postes et à l’exploration de possibilités de déplacement dans un réseau. L’entreprise affirme que le dispositif a servi à mener plusieurs opérations en parallèle, et pas seulement à assister une intrusion isolée.

CrowdStrike indique qu’ARTEX a fonctionné principalement avec le modèle DeepSeek, complété par un autre modèle commercial sur abonnement que l’entreprise n’a pas pu identifier. Au cours d’une intrusion, les agents planificateurs auraient consommé environ 1,4 milliard de jetons en entrée, selon CrowdStrike. Ce chiffre concerne l’activité observée dans un seul cas ; à lui seul, il ne permet pas de mesurer l’efficacité des agents, le coût total de la campagne ni la part du travail effectuée sans intervention humaine.

Le rapport fait état d’une supervision humaine : les transcriptions récupérées contenaient des instructions d’un opérateur qui orientait les agents, par exemple pour créer des outils, rechercher des identifiants d’administration ou repérer les postes équipés d’un capteur de sécurité. La campagne ne doit donc pas être présentée comme une attaque entièrement autonome. L’automatisation a pu accroître l’échelle et permettre de mener plusieurs tâches en parallèle, tandis qu’un opérateur continuait à diriger le travail.

Neuf intrusions confirmées et techniques observées

Dans neuf organisations, CrowdStrike affirme avoir confirmé une activité postérieure à l’intrusion. Parmi les opérations décrites figurent le déploiement de BLOODALCHEMY, la recherche d’identifiants et la reconnaissance des réseaux. Dans plusieurs cas, le rapport associe l’utilisation d’ARTEX à des techniques classiques : exploitation de failles applicatives, recours à des configurations ou à des identifiants exposés, et exploration de services cloud, de conteneurs, d’annuaires d’entreprise, de messageries et de connexions VPN.

Un exemple décrit dans le rapport combine une assertion SAML dépourvue de signature valide et une vulnérabilité d’entité externe XML pour interroger un service de métadonnées cloud. Selon CrowdStrike, cette séquence a permis d’obtenir les identifiants d’un rôle cloud, puis d’accéder à un compte d’administration. Dans un autre cas, l’entreprise rapporte l’utilisation de clés d’authentification contenues dans une ancienne exportation d’annuaire et d’une clé de client VPN que l’opérateur disait issue d’une fuite de courriels. L’ancienneté et la provenance de ces données sont rapportées dans l’enquête de CrowdStrike ; elles ne font pas l’objet ici d’une confirmation indépendante.

L’intérêt technique réside dans la combinaison des méthodes : ARTEX a pu contribuer à coordonner la recherche d’autres voies lorsque l’une d’elles échouait, mais les techniques décrites dépendaient de conditions précises, telles que des identifiants exposés, des contrôles absents ou des systèmes vulnérables. La présence d’agents ne rend pas une intrusion automatique ni inévitable. Le rapport ne permet pas non plus de conclure que toutes les organisations visées étaient exposées aux mêmes voies d’attaque.

Une campagne distincte de celle attribuée à Storm-0940

CrowdStrike distingue la campagne de VAPOR PANDA d’une autre activité impliquant ARTEX et attribuée à Storm-0940. Cette distinction est importante : l’utilisation du même outil ne prouve pas que deux opérations relèvent du même groupe ni qu’elles partagent une infrastructure, des cibles ou une direction.

L’entreprise estime que l’utilisation d’ARTEX par plusieurs acteurs liés à la Chine pourrait indiquer que cet outil gagne en popularité auprès de ces groupes. Il s’agit d’une évaluation de CrowdStrike, et non d’une démonstration d’une adoption généralisée. L’attribution de la campagne à VAPOR PANDA provient également de l’enquête de l’entreprise ; les informations disponibles ici ne fournissent pas de confirmation indépendante de la part des autorités ou des organisations concernées.

CrowdStrike décrit cette campagne comme un élargissement géographique et sectoriel des activités précédemment observées chez VAPOR PANDA. L’entreprise rapporte aussi des activités visant des entités gouvernementales dans différents pays et des organisations des secteurs des télécommunications, de la défense, de la finance et de la pharmacie. L’étendue des cibles rapportées ne doit pas être confondue avec une liste de compromissions confirmées : le rapport distingue lui-même l’activité dirigée contre plus de 200 organisations de l’activité postérieure à l’intrusion confirmée dans neuf d’entre elles.

Mesures défensives et limites d’une recherche d’indicateurs

CrowdStrike recommande de renouveler les clés de signature, les clés de préauthentification et les identifiants de service lorsqu’une exposition de données est soupçonnée, y compris si ces éléments peuvent se trouver dans des sauvegardes ou des exportations historiques. L’entreprise préconise également d’exiger la validation des signatures SAML, d’imposer IMDSv2 sur AWS, de limiter les permissions d’exécution de commandes associées aux rôles cloud et de maintenir à jour les systèmes exposés à Internet.

CrowdStrike cite plusieurs marqueurs d’ARTEX pouvant être recherchés à des fins défensives : des chaînes « artx » ou « artex » dans les paramètres de ligne de commande, des rôles cloud préfixés par « artx », des commentaires « art18- » dans des commandes d’administration et le répertoire « C:\ProgramData\artx5v\ ». Ces éléments sont des indicateurs signalés dans le rapport ; ils ne garantissent pas la détection de toute activité liée à ARTEX. Leur absence ne prouve pas non plus qu’une organisation n’a pas été visée.

Une réponse adaptée associe la recherche d’indicateurs à l’examen des journaux d’identité, des activités cloud, des accès à la messagerie et des connexions VPN. Il est utile de donner la priorité aux identifiants et aux clés disposant de privilèges, de vérifier s’ils sont encore actifs et de rechercher des accès ou des modifications inhabituels. Ces recommandations sont des mesures défensives : elles ne prouvent pas qu’une organisation a été attaquée et ne garantissent pas qu’une recherche donnée permette d’exclure une intrusion.

Ce qui reste incertain

Le rapport de CrowdStrike constitue une source primaire pour les observations et les évaluations publiées par l’entreprise au sujet de cette campagne. Toutefois, les informations disponibles ne fournissent pas de confirmation indépendante de l’attribution, du nombre de cibles ou des détails techniques décrits. Les conclusions concernant VAPOR PANDA et ses liens avec la Chine doivent être comprises comme des évaluations de l’entreprise, et non comme des faits corroborés par plusieurs enquêtes indépendantes.

Ces informations ne permettent pas non plus de savoir combien d’organisations ont subi d’autres conséquences qui ne figurent pas parmi les neuf cas où une activité postérieure à l’intrusion a été confirmée, ni de déterminer l’ampleur des données consultées ou extraites. CrowdStrike rapporte certains accès et certaines activités, mais cela n’établit pas à lui seul le volume d’informations exfiltrées dans chaque cas. L’utilisation d’un modèle donné ne révèle pas non plus quelle part du travail provenait du modèle, de la logique d’ARTEX ou des instructions humaines.

Le volume de jetons, le fonctionnement en parallèle et l’éventail de techniques décrivent une campagne particulière selon l’analyse de CrowdStrike. Ils ne constituent pas une mesure générale de la capacité des agents d’IA à attaquer des organisations, ni une démonstration que l’IA rend les intrusions efficaces. Le constat plus limité étayé par le rapport est le suivant : CrowdStrike a observé ARTEX intégré à des opérations dirigées par des humains et faisant appel à des techniques d’intrusion connues, et a rapporté neuf cas d’activité postérieure à l’accès initial confirmée.

Poursuivre l’exploration

Corrections et transparence

Si vous repérez une information incorrecte ou obsolète, envoyez-nous la page et la source à vérifier.