Kelompok peretas yang didukung pemerintah China dilaporkan telah memanfaatkan sebuah kerangka kerja uji penetrasi berbasis kecerdasan buatan (AI) yang ditulis dalam bahasa pemrograman Go, bernama ARTEX, untuk melancarkan serangan terhadap berbagai target bernilai tinggi secara bersamaan.
Aktivitas siber berbahaya ini secara resmi diatribusikan oleh firma keamanan siber CrowdStrike kepada kelompok ancaman intrusi tertarget asal China yang dilacak dengan nama samaran Vapor Panda, yang sebelumnya dikenal sebagai VexatiousTemper. Kelompok peretas ini pertama kali teridentifikasi pada bulan Februari 2021 dan memiliki tumpang tindih aktivitas yang signifikan dengan klaster ancaman yang diidentifikasi oleh Trend Micro sebagai Earth Estries.
"Perangkat berbasis agen seperti ARTEX memungkinkan ekspansi operasional berskala besar dengan kecepatan tinggi, sehingga memberi peluang bagi tim kecil untuk mengincar target yang jauh lebih luas daripada kemampuan operasi manual biasa, alih-alih menggeser misi utama kelompok tersebut dalam mengembangkan akses jaringan," ungkap pihak CrowdStrike dalam sebuah laporan analisis yang dirilis pada hari Kamis.
Sejak tanggal 17 Oktober 2026, kelompok Vapor Panda dilaporkan telah mengoperasikan perangkat AI canggih ini untuk menyasar lebih dari 200 organisasi independen di berbagai penjuru dunia. Sasaran tersebut mencakup kementerian luar negeri di wilayah Amerika Latin, Eropa, Asia, dan Timur Tengah; institusi produsen semikonduktor, lembaga pertahanan, serta organisasi think tank di Amerika Serikat; hingga penyedia layanan telekomunikasi di berbagai belahan benua.
Berikut adalah beberapa rincian entitas penting yang terdata dan masuk ke dalam daftar pantauan analis CrowdStrike:
Aktivitas pasca-eksploitasi berbahaya telah terkonfirmasi menyusupi setidaknya sembilan organisasi korban, di mana peretas berhasil menempatkan perangkat lunak jahat BLOODALCHEMY, yang merupakan turunan dari malware ShadowPad, yang kemudian dilanjutkan dengan aktivitas penyemprotan kredensial (credential spraying), pemindaian jaringan internal, serta pengintaian mendalam.
Vapor Panda juga tercatat telah melancarkan operasi penyemprotan kata sandi serta pemindaian data kredensial terhadap setidaknya 12 organisasi tambahan, termasuk sejumlah lembaga kajian think tank terkemuka di Amerika Serikat serta badan pemerintahan resmi di wilayah Eropa.
Bagian inti dari operasi terstruktur ini adalah penggabungan ARTEX dengan teknologi model DeepSeek serta satu model bahasa besar (LLM) komersial berbasis langganan yang belum teridentifikasi namanya. Penggunaan sistem ini memungkinkan eksekusi intrusi berskala masif dengan mengandalkan sepasukan agen perencana (planner agents) dan agen pelaksana (worker agents) yang saling berkoordinasi secara otonom demi mencapai tujuan bersama, mulai dari penguasaan akses awal, pengintaian host korban, hingga pergerakan lateral (lateral movement) di dalam sistem jaringan internal sasaran.
Seorang operator manusia tetap ditempatkan dalam alur kerja tersebut untuk mengawasi keseluruhan operasi, memberikan instruksi langsung kepada agen AI guna membuat web shell, mengekstraksi kata sandi administrator domain, serta memetakan jangkauan sensor keamanan endpoint yang aktif.
"Dalam satu operasi intrusi tunggal saja, agen perencana Vapor Panda menghabiskan token masukan hingga mencapai angka 1,4 miliar token, yang memperlihatkan skala otomasi aktivitas siber tersebut sekaligus mengindikasikan tingkat konsumsi token yang jauh lebih masif pada keseluruhan operasi berskala besar ini," papar laporan resmi dari CrowdStrike.
Berbeda dari rangkaian kampanye digital konvensional yang kerap digunakan hanya untuk membantu pembobolan digital individual, penerapan ARTEX berada pada tataran yang jauh lebih tinggi karena mampu mengelola berbagai target serangan secara paralel dan simultan, di mana operator manusia hanya perlu mengarahkan para agen untuk menuntaskan sasaran akhir sembari mengambil langkah strategis guna menghindari sistem pertahanan endpoint korban.
Pemeriksaan mendalam terhadap catatan transkrip data yang berhasil ditemukan menunjukkan adanya penggabungan antara ARTEX dengan metodologi serangan yang telah teruji efektivitasnya:
"Di seluruh penugasan serangan ini, agen-agen tersebut menjelajahi berbagai rute serangan secara paralel, mencakup aplikasi berbasis web, layanan komputasi awan, lingkungan container, Active Directory, hingga infrastruktur surat elektronik dan VPN," jelas peneliti CrowdStrike. "Mereka akan segera beralih ke metode alternatif apabila satu jalur serangan mengalami kegagalan. Cakupan operasional ini memungkinkan satu operator tunggal menerapkan rentang teknik eksploitasi yang jauh lebih bervariasi terhadap target dalam jumlah besar secara serentak dibandingkan pelaksanaan manual biasa."
Perkembangan taktik peretasan ini terjadi seiring adopsi ARTEX yang berkembang sangat pesat di kalangan aktor ancaman digital dalam kurun waktu singkat, kondisi yang kemudian mendorong sang pembuat perangkat, Li Puhua (dikenal secara daring dengan nama "Autumn-27"), untuk menutup kode sumbernya dan menjadikannya closed source.
"Perangkat lunak ini mampu mengorkestrasi berbagai sistem backend LLM secara otomatis untuk melakukan pemetaan target, identifikasi kerentanan perangkat lunak, serta pelaksanaan eksploitasi, yang secara signifikan memangkas hambatan teknis untuk menggelar rangkaian serangan siber yang rumit," sebut laporan ThreatLabz dari Zscaler yang diterbitkan pada awal bulan ini.
Salah Satu dari Sekian Banyak Klaster Ancaman Panda
Pengungkapan temuan ini bertepatan dengan kemunculan empat kelompok ancaman siber baru terafiliasi pemerintah China yang sebelumnya belum pernah terdokumentasikan, yaitu Hollow Panda, Overcast Panda, Titan Panda, dan Veiled Panda. Seluruh kelompok ini secara agresif menyasar beragam sektor penting di dunia untuk misi pengumpulan data intelijen rahasia serta pencurian hak kekayaan intelektual.
Overcast Panda, yang diposisikan sebagai "salah satu ancaman paling canggih secara operasional dan paling persisten bagi organisasi yang memiliki staf yang bepergian ke China," dikaitkan dengan taktik intrusi akses fisik langsung. Aktor ini menyuntikkan pintu belakang (backdoor) buatan mereka sendiri, FlowCloud, ke dalam perangkat target melalui intervensi fisik saat individu korban tengah berada di wilayah negara tersebut.
Pintu belakang FlowCloud dijalankan menggunakan metode DLL sideloading, dengan arsitektur komponen internal yang dirancang khusus untuk menghindari pantauan sistem pendeteksi serta kebal terhadap investigasi forensik digital. Mekanisme kendali Command-and-control (C2) dijalankan melalui infrastruktur komputasi awan legal agar keberadaan peretas semakin tersembunyi secara sempurna.
"FlowCloud merupakan instrumen berbahaya yang sangat canggih dan dibuat secara khusus yang terikat unik dengan kelompok Overcast Panda," terang CrowdStrike. "Setelah berhasil dipasang, FlowCloud memberikan aktor ancaman akses kendali jarak jauh yang rahasia dan permanen terhadap gawai target, memungkinkan perekaman ketukan tombol keyboard (keylogging), pengambilan tangkapan layar, pencurian berkas dokumen, serta pemanenan kredensial akun rahasia."
Sementara itu, Titan Panda terpantau membidik piranti lunak penagihan hukum komersial dengan memanfaatkan celah keamanan machine key Internet Information Services (IIS) bawaan yang terpasang secara hard-coded pada Intapp Time Server, yang memungkinkan eksekusi kode jarak jauh (remote code execution) pada berbagai firma hukum.
Serangan yang pertama kali terdeteksi pada bulan April 2026 ini berujung pada pemasangan kerangka kerja pemindaian in-memory bernama IceGiant untuk melakukan pengintaian internal, pemeliharaan persistensi akses, pergerakan lateral, hingga eksfiltrasi data rahasia. Kelompok ancaman siber ini diperkirakan telah aktif beroperasi setidaknya sejak tahun 2021 dan berhasil membobol sejumlah organisasi hukum ternama di kawasan Amerika Utara selama lebih dari dua tahun berturut-turut.
"Bagaimana cara Titan Panda memperoleh machine key default tersebut masih menjadi misteri yang belum terpecahkan, kendati demikian kompromi pada server IIS entitas hukum yang menjalankan Intapp Time Server berpotensi membocorkan kunci hard-coded pada berkas konfigurasi aplikasi, yang membuka peluang serangan deserialisasi ViewState terhadap setiap organisasi yang mengoperasikan instalasi awal default," pungkas CrowdStrike.
