Kelompok peretas yang didukung pemerintah China dilaporkan telah memanfaatkan sebuah kerangka kerja uji penetrasi berbasis kecerdasan buatan (AI) yang dibangun dengan bahasa pemrograman Go bernama ARTEX guna melancarkan serangan serentak terhadap target-target bernilai tinggi.
Aktivitas peretasan siber tersebut secara resmi dikaitkan oleh CrowdStrike kepada sebuah kelompok peretas intrusi bertarget yang berbasis di China, yang mereka lacak menggunakan sebutan Vapor Panda (sebelumnya dikenal dengan sandi VexatiousTemper). Pertama kali terdeteksi pada Februari 2021, rekam jejak kelompok peretas ini memiliki tumpang tindih dengan kluster ancaman yang diidentifikasi oleh peneliti Trend Micro sebagai Earth Estries.
"Perangkat berbasis agen seperti ARTEX memungkinkan perluasan skala serangan dengan kecepatan yang luar biasa, sehingga memberi kemampuan bagi tim kecil guna memburu target yang jauh lebih banyak daripada yang dapat didukung oleh operasi manual biasa, alih-alih mengubah misi utama kelompok tersebut dalam pengembangan akses," papar CrowdStrike dalam laporan analisis yang dirilis hari Kamis.
Terhitung sejak 17 Oktober 2026, Vapor Panda dilaporkan telah mengoperasikan instrumen berbasis kecerdasan buatan tersebut untuk membidik lebih dari 200 institusi berbeda di berbagai belahan dunia. Target operasi ini mencakup kementerian luar negeri di kawasan Amerika Latin, Eropa, Asia, dan Timur Tengah; industri semikonduktor, sektor pertahanan, serta lembaga wadah pemikir (think tank) di Amerika Serikat; hingga penyedia layanan telekomunikasi di beberapa kawasan regional.
Beberapa sasaran utama yang tercatat secara terperinci oleh analis keamanan CrowdStrike dipaparkan berikut ini –
Tindakan pasca-eksploitasi telah terverifikasi secara positif terjadi pada sembilan instansi, yang memungkinkan penyerang menyusupkan malware BLOODALCHEMY, suatu varian turunan dari ShadowPad, yang kemudian disusul oleh taktik credential spraying, pemindaian jaringan lokal, serta aktivitas pengintaian mendalam.
Vapor Panda juga dilaporkan telah mengeksekusi operasi pembobolan kata sandi (password spraying) dan pemindaian kredensial terhadap setidaknya 12 instansi tambahan, termasuk sejumlah lembaga think tank di Amerika Serikat dan institusi pemerintahan di Eropa.
Faktor penentu di balik keberhasilan operasi berskala besar ini adalah integrasi ARTEX bersama DeepSeek dan sebuah model bahasa besar (LLM) komersial berbasis langganan yang belum teridentifikasi namanya secara publik. Kombinasi tersebut mengerahkan jajaran agen perencana (planner) dan agen pelaksana (worker) yang saling berkoordinasi secara rapi demi mencapai tujuan bersama, mulai dari mengamankan akses mula-mula, melakukan pengintaian terhadap sistem host, hingga mengeksekusi pergerakan lateral (lateral movement).
Seorang operator manusia tetap berada di dalam rantai komando untuk mengawasi langsung berjalannya seluruh operasi, sembari memberikan arahan taktis kepada para agen otomatis untuk menulis web shell, mengambil kata sandi administrator domain, serta memetakan jangkauan sensor keamanan endpoint.
"Dalam satu aksi intrusi tunggal saja, agen perencana milik Vapor Panda menghabiskan sekitar 1,4 miliar token input, angka yang mencerminkan betapa masifnya skala otomatisasi yang berjalan sekaligus mengindikasikan volume konsumsi token yang jauh lebih fantastis di seluruh rangkaian operasi," ungkap CrowdStrike.
Berbeda dengan kampanye siber terdahulu yang sekadar memanfaatkan AI sebagai alat bantu pada peretasan digital individual, pemanfaatan sistem ARTEX ini berada pada tataran yang jauh lebih canggih untuk menjalankan banyak operasi penetrasi secara simultan, di mana operator manusia hanya turun tangan untuk mengarahkan manuver agen demi memenuhi sasaran sambil menerapkan berbagai taktik guna mengelabui sistem pertahanan endpoint.
Pemeriksaan mendalam terhadap catatan transkrip digital yang berhasil ditemukan mengungkap bahwa penggunaan ARTEX dipadukan dengan berbagai teknik serangan konvensional yang telah teruji –
"Sepanjang operasi-operasi tersebut berlangsung, para agen AI menjelajahi banyak jalur serangan secara paralel, mencakup aplikasi berbasis web, layanan cloud, lingkungan sistem kontainer, Active Directory, hingga infrastruktur surat elektronik dan jaringan VPN," jelas CrowdStrike. "Mereka segera berpindah ke pendekatan alternatif lain saat sebuah rute mengalami kegagalan. Keleluasaan spektrum ini memungkinkan seorang operator tunggal untuk mengeksekusi variasi teknik yang jauh lebih luas ke banyak sasaran sekaligus dibanding yang bisa dicapai via operasi manual biasa."
Kemunculan dinamika ini terjadi seiring pesatnya adopsi kerangka kerja ARTEX di kalangan aktor ancaman dunia maya dalam rentang waktu yang terbilang singkat, suatu tren yang akhirnya mendorong sang pengembang software, Li Puhua (dikenal dengan alias "Autumn-27"), untuk menutup kode sumbernya dan menjadikannya closed source.
"Sistem ini mengorkestrasi berbagai backend model bahasa besar secara terpadu guna menjalankan fungsi pengintaian, pendeteksian celah kerentanan, dan eksploitasi secara mandiri, sehingga memangkas batasan teknis yang sebelumnya diperlukan untuk menyelenggarakan kampanye intrusi tingkat tinggi," papar tim Zscaler ThreatLabz lewat laporan resmi yang dirilis awal bulan ini.
Satu Bagian dari Rangkaian Kelompok Ancaman Panda
Pengungkapan fakta ini juga bertepatan dengan kemunculan empat kelompok peretas baru yang disponsori oleh negara China yang sebelumnya tidak pernah terdokumentasikan, yaitu kelompok Hollow Panda, Overcast Panda, Titan Panda, serta Veiled Panda, yang kesemuanya aktif menargetkan beragam sektor industri global demi kepentingan pengumpulan data intelijen dan pencurian hak kekayaan intelektual.
Kelompok Overcast Panda, yang digambarkan sebagai "salah satu ancaman paling canggih secara operasional serta sangat gigih yang dihadapi oleh korporasi dengan staf yang bepergian ke wilayah China," telah dikaitkan dengan aksi intrusi akses jarak dekat di mana pihak peretas memasang backdoor khusus buatan mereka, FlowCloud, langsung ke gawai para korban lewat intervensi fisik saat individu tersebut berada di dalam negeri China.
Program berbahaya FlowCloud dijalankan memakai taktik sideloading DLL, dengan komponen yang dirancang sedemikian rupa agar tidak terdeteksi oleh radar keamanan dan kebal terhadap investigasi forensik komputer. Sementara itu, mekanisme komando dan kendali (C2) dijalankan melalui prasarana cloud resmi legal guna semakin menyamarkan jejak keberadaan mereka di sistem korban.
"FlowCloud sendiri merupakan instrumen berbahaya yang sangat canggih, dirancang khusus, dan memiliki keterkaitan identitas eksklusif dengan Overcast Panda," tegas CrowdStrike. "Segera setelah berhasil dipasang, FlowCloud memberikan penyerang akses kendali jarak jauh yang rahasia dan bertahan lama pada perangkat target, memungkinkan pencatatan ketukan tombol (keylogging), penangkapan visual layar, pengumpulan file penting, serta pemanenan kredensial akun."
Di sudut lain, Titan Panda dilaporkan secara khusus menargetkan software penagihan biaya hukum dengan cara mengeksploitasi kerentanan machine key Internet Information Services (IIS) yang tertanam permanen di dalam Intapp Time Server untuk meraih eksekusi kode jarak jauh (RCE) di berbagai firma hukum ternama.
Serangan tersebut, yang terendus pertama kali pada bulan April 2026, berujung pada penyusupan kerangka kerja berbasis memori yang dinamakan IceGiant guna melancarkan aksi mata-mata, mempertahankan eksistensi, pergerakan lateral, hingga pembajakan data keluar jaringan. Kelompok kriminal siber ini diperkirakan telah aktif bergerak setidaknya sejak tahun 2021, berhasil membobol sistem sejumlah instansi hukum di Amerika Utara selama lebih dari dua tahun lamanya.
"Bagaimana metode Titan Panda memperoleh kunci default mesin tersebut masih menjadi misteri yang belum terpecahkan, kendati peretasan IIS pada entitas hukum pengguna Intapp Time Server diduga kuat telah membocorkan kunci yang tertulis pada file konfigurasi aplikasi, sehingga membuka jalan bagi serangan deserialisasi ViewState pada instalasi default," pungkas CrowdStrike.
