DeepSeek habría sido el modelo principal en una campaña atribuida a VAPOR PANDA

La operación habría apuntado a más de 200 organizaciones; CrowdStrike comunicó actividad posterior a la intrusión confirmada en nueve y describió supervisión humana.

CrowdStrike habría atribuido a VAPOR PANDA una campaña de 11 días contra más de 200 organizaciones en al menos 14 países.

Se comunicó actividad posterior a la intrusión confirmada en nueve organizaciones y actividad de escaneo o pulverización de contraseñas en al menos 12 más.

DeepSeek habría sido el modelo principal de ARTEX, con intervención humana en momentos clave.

BLOODALCHEMY ya se había documentado públicamente en octubre de 2023, según SecurityBrief Australia.

CrowdStrike atribuyó a VAPOR PANDA una campaña con DeepSeek y supervisión humana: más de 200 objetivos en al menos 14 países y nueve casos confirmados.

CrowdStrike habría atribuido a VAPOR PANDA, un actor al que describió como vinculado a China, una campaña con ARTEX que apuntó a más de 200 organizaciones en al menos 14 países. La operación habría comenzado el 17 de octubre de 2026 y durado 11 días; CrowdStrike comunicó actividad posterior a la intrusión confirmada en nueve organizaciones, según informaciones publicadas el 30 de octubre.

Más de 200 organizaciones habrían sido objetivo de la campaña. CrowdStrike comunicó actividad posterior a la intrusión confirmada en nueve; además, al menos 12 organizaciones distintas se habrían visto sometidas a escaneos de credenciales o a pulverización de contraseñas, una técnica que prueba contraseñas contra varias cuentas.

Estas cifras describen fases distintas de la actividad. Los nueve casos con actividad posterior a la intrusión no incluyen a las 12 organizaciones adicionales sometidas a escaneos o intentos de acceso, y las cifras no convierten a todos los objetivos en organizaciones comprometidas.

ARTEX, descrito como un marco de inteligencia artificial de código abierto, habría coordinado un agente principal con agentes de planificación y ejecución. DeepSeek habría sido el modelo principal, junto con otro modelo comercial de suscripción. Las transcripciones recuperadas que se describieron en las informaciones sobre la campaña mostraban a un operador humano dando instrucciones en chino e interviniendo en momentos clave. La actividad se presentó como supervisada por una persona, no como una operación autónoma.

En una de las intrusiones, los agentes de planificación habrían procesado aproximadamente 1.400 millones de tokens de entrada. Esa cifra corresponde a una intrusión. CrowdStrike también habría atribuido a la campaña el despliegue de la puerta trasera BLOODALCHEMY en un ministerio del Interior de Oriente Próximo y en un ministerio de Exteriores de América Latina.

SecurityBrief Australia informó que BLOODALCHEMY ya se había documentado públicamente en octubre de 2023. La novedad descrita se refiere a su uso en esta campaña y a indicadores de infraestructura asociados que CrowdStrike habría señalado como no publicados antes en la cobertura pública de ARTEX.

NeoTeo ya había cubierto otras campañas con agentes de IA en ciberataques, atribuidas entonces a cuatro grupos entre mayo y agosto de 2026. Eran operaciones distintas de la campaña atribuida a VAPOR PANDA.

CrowdStrike habría recomendado rotar las claves de firma, las claves de preautenticación y las credenciales de servicio si se sospecha que quedaron expuestas, incluidas las conservadas en copias de seguridad antiguas o exportaciones de directorios. También recomendó validar las firmas de SAML, exigir IMDSv2 en las instancias en la nube, limitar los permisos para ejecutar comandos a las instancias que los necesiten, corregir vulnerabilidades en sistemas expuestos a internet y mantener la detección y respuesta en los equipos.

Cursor retiró las versiones 2.1.312 y 2.1.313 de su marketplace. El código malicioso apuntó a Windows y macOS e intentó…