Kelompok peretas yang didukung pemerintah China kedapatan memanfaatkan kerangka kerja penetration testing berbasis kecerdasan buatan (AI) yang dibangun dengan bahasa pemrograman Go bernama ARTEX dalam melancarkan serangan serentak ke berbagai entitas bernilai tinggi.
Operasi siber ini diatribusikan secara resmi oleh firma keamanan siber CrowdStrike kepada kelompok ancaman intrusi tertarget asal China yang dilacak dengan sebutan Vapor Panda (sebelumnya dikenal sebagai VexatiousTemper). Muncul pertama kali pada Februari 2021, rekam jejak grup peretas ini saling beririsan dengan klaster ancaman yang diidentifikasi oleh Trend Micro dengan nama Earth Estries.
"Perangkat berbasis agen cerdas seperti ARTEX memungkinkan ekspansi sebesar ini terjadi dengan tempo sangat cepat, sehingga tim kecil mampu memburu portofolio target yang jauh lebih masif daripada yang dapat ditangani melalui operasi manual konvensional, tanpa mengubah misi inti pengembangan akses yang selama ini mereka pegang," ungkap CrowdStrike dalam laporan investigasi yang diterbitkan hari Kamis.
Mulai tanggal 17 Oktober 2026, kelompok Vapor Panda dilaporkan telah mengoperasikan instrumen AI tersebut untuk menggasak lebih dari 200 organisasi independen di penjuru bumi, mencakup kementerian luar negeri di wilayah Amerika Latin, Eropa, Asia, dan Timur Tengah; institusi semikonduktor, sektor pertahanan, serta lembaga think tank di Amerika Serikat; hingga perusahaan penyedia layanan telekomunikasi di beberapa benua berbeda.
Beberapa daftar sasaran utama yang diidentifikasi dalam investigasi komprehensif CrowdStrike tercatat di bawah ini –
Aktivitas pasca-eksploitasi berbahaya telah diverifikasi terjadi pada sembilan entitas korban, memberikan jalur bagi aktor peretas untuk memasang backdoor BLOODALCHEMY yang merupakan modifikasi ShadowPad, yang kemudian disusul oleh aksi penyemprotan kredensial, pemindaian rute jaringan internal, serta aktivitas pengintaian mendalam.
Vapor Panda juga dinyatakan telah menggelar aksi penyemprotan kata sandi serta pemindaian kredensial akses terhadap paling tidak 12 entitas tambahan lainnya, di antaranya mencakup think tank asal Amerika Serikat dan instansi pemerintahan di kawasan Eropa.
Elemen utama penggerak seluruh rantai operasi ini adalah pemanfaatan framework ARTEX yang dipadukan secara langsung dengan model AI DeepSeek serta sebuah layanan subscription-based large language model (LLM) komersial berbayar yang belum diketahui identitasnya demi melancarkan serangan intrusi masif, menggunakan armada planner agents dan worker agents yang saling bekerja sama secara otonom dalam menggapai misi awal dari penyusupan jaringan, survei host target, sampai pergerakan lateral antarsistem.
Seorang operator manusia tetap dilibatkan di dalam siklus serangan ini untuk memandu jalannya operasi, menginstruksikan para agen otonom menulis web shell, mengekstrak kata sandi domain administrator, serta mendata cakupan deteksi sensor endpoint keamanan korban.
"Dalam suatu rangkaian intrusi tunggal, agen perencana milik Vapor Panda terbukti menghabiskan hingga kisaran 1,4 miliar input token, yang memperlihatkan skala otomatisasi luar biasa sekaligus mengindikasikan angka konsumsi token kumulatif yang jauh lebih fantastis di keseluruhan kampanye," jelas analis CrowdStrike.
Berbeda dari metode penyerangan sebelumnya yang sebatas memperbantukan model komputasi untuk pembobolan digital individual, penerapan ARTEX dijalankan pada tingkat yang jauh lebih tinggi guna menggelar aneka penugasan serentak, di mana keterlibatan analis manusia hanya berupa navigasi taktis agar para agen mampu menyelesaikan target pembobolan seraya mengakali sistem pertahanan endpoint.
Hasil investigasi pada salinan transkrip yang berhasil diamankan memperlihatkan integrasi solid pemanfaatan ARTEX dengan metode peretasan klasik yang telah teruji –
"Di sepanjang penugasan tersebut, para agen mengejar banyak skenario intrusi secara bersamaan, mulai dari pengujian aplikasi web, infrastruktur cloud, ekosistem kontainer, arsitektur Active Directory, sampai fasilitas email serta perangkat VPN," beber CrowdStrike. "Mereka dapat langsung berganti ke rute alternatif begitu sebuah jalur serangan menemui jalan buntu. Luasnya manuver ini memungkinkan seorang peretas menerapkan spektrum teknik yang sangat beragam ke banyak korban seketika dibandingkan kapabilitas aksi manual."
Fenomena ini mengemuka seiring tingginya lonjakan adopsi ARTEX di kalangan peretas dalam kurun waktu singkat, yang akhirnya memaksa sang pembuat, Li Puhua (dikenal dengan alias "Autumn-27"), untuk menyetop keterbukaan kode dan mengubah proyeknya menjadi closed source.
"Alat ini mengorkestrasi berbagai backend model bahasa besar secara terpadu guna mengeksekusi misi intelijen, pelacakan kerentanan baru, dan peretasan sistem secara mandiri, sehingga secara drastis memangkas hambatan teknis yang sebelumnya diperlukan dalam menggelar kampanye intrusi tingkat tinggi," papar Zscaler ThreatLabz dalam publikasi riset awal bulan ini.
Salah Satu dari Sekian Banyak Klaster Ancaman Panda
Terkuaknya operasi canggih ini juga bertepatan dengan pengungkapan empat sindikat peretas binaan pemerintah China yang sebelumnya belum pernah terdokumentasikan, yakni Hollow Panda, Overcast Panda, Titan Panda, dan Veiled Panda, yang membidik rentetan sektor lintas negara demi pengumpulan data intelijen serta pencurian kekayaan intelektual.
Grup Overcast Panda, yang dijuluki sebagai "salah satu ancaman siber paling gigih dan canggih secara operasional terhadap institusi yang stafnya kerap bepergian dinas ke daratan China," dikaitkan dengan aksi penyusupan jarak dekat di mana peretas menanamkan malware backdoor khas milik mereka bernama FlowCloud ke gawai milik korban melalui akses fisik secara langsung sewaktu target berada di wilayah yurisdiksi China.
Backdoor FlowCloud dieksekusi memanfaatkan trik DLL sideloading, dengan komponen modul yang dirancang sedemikian rupa agar lolos dari pemantauan deteksi dan tahan terhadap upaya analisis forensik digital. Saluran kendali command-and-control (C2) dialirkan melalui infrastruktur komputasi awan legal guna mengaburkan jejak komunikasi mereka.
"FlowCloud merupakan senjata canggih yang dirancang secara khusus dan terhubung secara eksklusif dengan sindikat Overcast Panda," papar CrowdStrike. "Begitu berhasil terpasang, FlowCloud menganugerahi peretas kendali jarak jauh yang persisten dan terselubung terhadap perangkat target, mendukung perekaman tombol ketikan, pengambilan tangkapan layar, penyedotan berkas rahasia, hingga pencurian seluruh kredensial tersimpan."
Sementara itu, kelompok Titan Panda terbukti menyasar piranti lunak penagihan hukum komersial dengan mengeksploitasi cacat hard-coded Internet Information Services (IIS) machine key pada Intapp Time Server untuk meraih kendali eksekusi kode jarak jauh di berbagai kantor firma hukum.
Gelombang serangan ini, yang awalnya terendus pada April 2026, bermuara pada penempatan kerangka kerja in-memory bernama IceGiant guna menjalankan fungsi pengintaian, pemeliharaan persistensi akses, pergerakan lateral internal, dan eksfiltrasi data penting. Sindikat ini diprediksi telah aktif beroperasi setidaknya sejak 2021, meretas sejumlah firma hukum di Amerika Utara selama lebih dari dua tahun berturut-turut.
"Bagaimana cara Titan Panda merengkuh default machine keys tersebut belum terungkap pasti, kendati pembobolan server IIS pada lembaga hukum yang menjalankan aplikasi Intapp Time Server berpeluang mengekspos kunci bawaan di file konfigurasi, memicu serangan ViewState deserialization massal terhadap instansi mana pun yang memakai instalasi standar," tandas pihak CrowdStrike.
