El grupo VAPOR PANDA, al que CrowdStrike vincula con China, utilizó agentes de IA contra más de 200 organizaciones de al menos 14 países durante 11 días a partir del 17 de octubre de 2026, según un informe de la firma de ciberseguridad. CrowdStrike confirmó actividad posterior al acceso en nueve de ellas. La operación combinó la herramienta ARTEX con un modelo de DeepSeek y otro modelo comercial cuya identidad no pudo confirmar.
Qué significan las cifras de CrowdStrike
El informe describe objetivos en cancillerías de América Latina, Europa, Asia y Oriente Medio, además de empresas de telecomunicaciones y organizaciones estadounidenses de los sectores farmacéutico, de semiconductores y de defensa. La firma observó intentos de acceso desde un mismo controlador de ARTEX, que dejó expuestos archivos y transcripciones de los agentes.
En nueve organizaciones, CrowdStrike afirma haber confirmado el acceso, la instalación de la puerta trasera BLOODALCHEMY y actividad posterior, como reconocimiento de redes y búsqueda de credenciales. Detectó además pruebas de contraseñas y revisión de credenciales contra al menos otras 12 entidades. El informe no presenta a las más de 200 organizaciones como víctimas de intrusiones consumadas ni ofrece una cifra total de datos extraídos.
ARTEX coordinaba agentes que planificaban y ejecutaban tareas en paralelo. Según las transcripciones examinadas por CrowdStrike, un operador humano daba instrucciones en chino y redirigía el trabajo en puntos de decisión. La escala de objetivos refleja esa capacidad de simultaneidad; el número de accesos confirmados refleja lo que la firma pudo observar en sus registros.
Una herramienta compartida por campañas distintas
Microsoft informó el 21 de octubre que otro grupo vinculado con China, Storm-0940, había usado ARTEX para automatizar ataques contra cientos de organizaciones. CrowdStrike señala expresamente que su investigación sobre VAPOR PANDA corresponde a una campaña separada. El uso de la misma herramienta no identifica por sí solo al mismo operador.
ARTEX también apareció en la investigación sobre ataques a bancos surcoreanos que FomoEra cubrió a comienzos de octubre. En aquel informe, CrowdStrike no atribuyó la actividad a un grupo con nombre.
Gerardo Pavez
Reuters informó el 9 de octubre que el desarrollador de ARTEX anunció el cierre del código y la retirada del repositorio público tras conocerse su uso en Corea del Sur. La campaña que ahora describe CrowdStrike comenzó ocho días después; su informe no precisa qué copia o versión de ARTEX empleó VAPOR PANDA.
La atribución de la nueva campaña y el recuento de nueve intrusiones proceden de CrowdStrike. Su evidencia pública permite describir una operación de amplio alcance dirigida por una persona con apoyo de agentes, pero no establecer cuántas de las otras organizaciones sufrieron un acceso ni cuánto material fue sustraído.
