CrowdStrike meldt ARTEX-campagne tegen ruim 200 organisaties

VAPOR PANDA zette ARTEX vanaf 17 oktober elf dagen in tegen meer dan 200 organisaties in minstens veertien landen, meldt CrowdStrike.

Bij een Griekse overheidsinstantie konden sleutels uit een mailserverexport uit 2022 waarschijnlijk nog worden gebruikt om een beheertoken te vervalsen en mailboxen te openen. Voor Nederlandse organisaties met AI-agenten, cloudtoegang en VPN-koppelingen maakt de geldigheid van oude gegevens deel uit van de aanvalsketen.

Eén ARTEX-controller verdeelde het werk

CrowdStrike OverWatch zag één ARTEX-controller achter meerdere doelen. Het bedrijf koppelt de controller aan VAPOR PANDA-infrastructuur; tooling, doelbestanden en agenttranscripten kwamen tijdelijk bloot te liggen. Doelen waren ministeries in Latijns-Amerika, Europa, Azië en het Midden-Oosten. In één niet bij naam genoemd Europees land kwamen ook het presidentschap, het kantoor van de premier en instanties voor defensie, justitie, financiën en inlichtingen in beeld.

Een aparte opdracht trof negentien Amerikaanse organisaties in farmacie, halfgeleiders, defensie, kernenergie en financiën. CrowdStrike meldt ook inbraken bij telecomproviders in België, de VS en de Filipijnen. VAPOR PANDA viseerde sinds 2021 vooral overheden, denktanks, energie- en grondstoffenorganisaties. Dit is volgens CrowdStrike het eerste waargenomen agentgebruik van de actor en een verbreding naar farmacie, halfgeleiders, kernenergie en defensie.

ARTEX verdeelde het werk over een hoofdagent en planning- en uitvoeragents, die bevindingen in een gedeeld overzicht bijhielden. De agents gingen van eerste toegang naar verkenning van systemen en beweging door netwerken. Een operator stuurde ze op beslismomenten bij. In herstelde gesprekken gaf die operator in het Chinees opdrachten om webshells te schrijven, kleine programma's waarmee een server op afstand commando's uitvoert. De agents moesten ook domeinbeheerderswachtwoorden verzamelen en systemen zonder de CrowdStrike Falcon-sensor zoeken.

ARTEX draaide vooral op het Chinese DeepSeek-model en op een tweede commercieel taalmodel via een abonnement. CrowdStrike kon de naam van dat tweede model niet vaststellen. In één inbraak verwerkten de planningsagents ongeveer 1,4 miljard invoertokens, de eenheden waarmee een taalmodel tekst verwerkt. Het rapport geeft geen prijs en splitst het verbruik niet per model uit.

Oude sleutels bleven bruikbaar

Bij de Griekse overheidsinstantie leverde de operator ARTEX een export uit 2022 van een mailserver aan. Daarin stonden authenticatiesleutels die waarschijnlijk sinds de export niet waren geroteerd. De agents gebruikten ze om een beheertoken te vervalsen en mailboxen te lezen. Daarna haalden ze VPN-instellingen uit verzonden e-mail. De operator zei dat een VPN-clientsleutel uit een e-maillek van mei 2024 kwam; samen met de instellingen gaf die toegang tot het interne netwerk.

Het rapport beschrijft ook twee aanvallen op Amerikaanse farmaceutische organisaties. Bij de eerste combineerde een agent een ongesigneerd digitaal SAML-aanmeldbewijs met een fout in externe XML-verwijzingen (XXE). Via die fout bevroeg de agent de cloudmetadatafunctie. De cloudrol die het kreeg, kon beheercommando's naar duizenden instanties sturen; daarna achterhaalde het een bedrijfsbeheeraccount. Bij een tweede organisatie leidde misbruik van een orkestratiedienst zonder aanmeldcontrole tot volledige beheerrechten in productiecontainers. De agent las lokale beheerderswachtwoorden uit Microsoft LAPS en deed zich via delegatie voor als een bevoorrecht account.

Na een vermoeden van datalek adviseert CrowdStrike ondertekenings- en authenticatiesleutels plus serviceaccountgegevens te vernieuwen, ook als die in oude exports of back-ups staan. Het noemt SAML-handtekeningcontrole, IMDSv2 en beperktere cloudrollen. In september kondigde het een identiteitsdienst aan die agents eigen verifieerbare identiteiten en kortlopende tokens per taak moet geven. De dienst moet elke handeling herleidbaar maken tot de mens of het systeem namens wie een agent werkt. Voor Nederlandse teams maken agentidentiteiten en toegangsrechten deel uit van de beveiligingsvraag.

ARTEX verschijnt in afzonderlijke campagnes

Microsoft noemt ARTEX een open-source raamwerk voor penetratietests. Het meldt dat Storm-0940 de tool gebruikte voor aanmeldpogingen bij meer dan 2.250 Microsoft 365-omgevingen na de inbraak bij ConnectWise. De ConnectWise-inbraak liep via een multi-tenantapplicatie met toegang tot klantomgevingen. Microsoft schrijft dat sommige aanvallen cloudbeheerrechten opleverden; een aanmelding alleen bewijst niet dat klantgegevens zijn ingezien of buitgemaakt.

CrowdStrike zegt expliciet dat de VAPOR PANDA-operatie losstaat van de ARTEX-activiteit onder Storm-0940. Het bedrijf beschreef vier andere aanvallers die tussen mei en augustus 2026 AI-agenten inzetten bij echte inbraken. De huidige rapportage voegt een afzonderlijke campagne toe waarin één actor ARTEX gebruikte om tegelijk opdrachten tegen organisaties in verschillende landen uit te voeren. Dezelfde agenttool duikt dus in meer dan één campagne op, met verschillende actoren.

Tweehonderd doelwitten zijn geen tweehonderd inbraken

CrowdStrike zegt dat het toegang en vervolgactiviteit bevestigde bij negen organisaties. Het rapport beschrijft de inzet van de BLOODALCHEMY-achterdeur en vervolgactiviteit zoals wachtwoordaanvallen, netwerkscans en verkenning. Bij minstens twaalf andere organisaties zag het bedrijf wachtwoordpogingen tegen meerdere accounts of zoekwerk naar inloggegevens. Die aantallen staan naast het totaal van meer dan 200 doelorganisaties; ze betekenen niet dat alle doelwitten zijn binnengedrongen.

NBC News publiceerde op 29 oktober over de ruim tweehonderd doelorganisaties, maar schrijft de kernbevinding in de opening eveneens toe aan CrowdStrike. Het bericht is dus geen tweede onafhankelijke waarneming van dezelfde campagne. De primaire bron bestaat uit CrowdStrikes eigen OverWatch- en Falcon-telemetrie; de aanbevelingen noemen de Falcon-sensor expliciet. Het rapport noemt geen getroffen organisaties bij naam en geeft geen onafhankelijke telling van wereldwijde of Nederlandse slachtoffers.

De rapportage beschrijft een menselijke operator die agents gebruikte om meerdere aanvallen tegelijk te sturen. De operatie laat zien hoe bestaande toegang, zoals oude sleutels, VPN-instellingen en cloudrollen, meerdere taken mogelijk maakte. Microsoft beschrijft een afzonderlijke Storm-0940-campagne met dezelfde tool. Voor Nederlandse teams bepalen de levensduur en reikwijdte van serviceaccountsleutels en cloudrollen hoeveel stappen een agent na een eerste toegang kan uitvoeren.