Aktor ancaman siber yang didukung oleh pemerintah Tiongkok teridentifikasi telah memanfaatkan sebuah kerangka kerja uji penetrasi berbasis bahasa Go bertenaga kecerdasan buatan (AI) bernama ARTEX dalam melancarkan serangkaian serangan serentak terhadap sasaran-sasaran bernilai tinggi di seluruh penjuru dunia.
Aktivitas siber berbahaya ini diatribusikan oleh firma keamanan siber CrowdStrike kepada kelompok peretas ancaman intrusi terarah asal Tiongkok yang dilacak dengan sebutan Vapor Panda (sebelumnya dikenal dengan identitas VexatiousTemper). Terdeteksi pertama kali pada Februari 2021, kelompok peretas ini memiliki keterkaitan operasional yang tumpang tindih dengan klaster ancaman yang diidentifikasi oleh Trend Micro sebagai Earth Estries.
"Perangkat berbasis agen seperti ARTEX memungkinkan ekspansi berskala besar ini dijalankan secara cepat, memungkinkan tim kecil mengejar target sasaran yang jauh lebih luas daripada yang dapat ditangani oleh operasi manual konvensional, alih-alih mengubah misi utama pengembangan akses yang telah dibangun oleh kelompok ancaman tersebut," ungkap CrowdStrike dalam laporan analisis yang dirilis pada hari Kamis.
Dimulai sejak tanggal 17 Oktober 2026, Vapor Panda dilaporkan telah mengoperasikan instrumen kecerdasan buatan tersebut untuk menyerang lebih dari 200 entitas organisasi yang berbeda di seluruh dunia, mencakup kementerian luar negeri di Amerika Latin, Eropa, Asia, dan Timur Tengah; perusahaan semikonduktor, sektor pertahanan, serta lembaga think tank di Amerika Serikat; hingga penyedia layanan telekomunikasi di sejumlah kawasan regional.
Beberapa daftar sasaran utama yang diidentifikasi oleh CrowdStrike tercantum sebagai berikut –
Aktivitas eksploitasi lanjutan (post-exploitation) telah terverifikasi terjadi pada setidaknya sembilan organisasi sasaran, memungkinkan pelaku menyusupkan malware BLOODALCHEMY yang merupakan turunan dari ShadowPad, yang kemudian dilanjutkan dengan aksi credential spraying, pemindaian jaringan secara masif, dan kegiatan pengintaian mendalam.
Vapor Panda dilaporkan turut melancarkan operasi penyemprotan kata sandi (password-spraying) serta pemindaian kredensial terhadap setidaknya 12 organisasi tambahan lainnya, termasuk lembaga riset think tank yang berbasis di Amerika Serikat dan instansi pemerintah resmi di wilayah Eropa.
Inti dari keberhasilan operasi siber ini bertumpu pada pengintegrasian ARTEX bersama model AI DeepSeek serta model bahasa besar komersial berbasis langganan yang belum teridentifikasi guna melancarkan intrusi skala besar, memanfaatkan sekumpulan agen perencana dan pekerja yang saling berkoordinasi guna mencapai target bersama, mulai dari tahap akses awal hingga pengintaian host dan pergerakan lateral.
Seorang operator manusia tetap berada di dalam rantai komando untuk mengawasi keseluruhan jalannya operasi, menginstruksikan para agen otomatis untuk menulis web shell, mengekstraksi kata sandi administrator domain, serta memetakan jangkauan sensor keamanan pada endpoint korban.
"Dalam satu insiden intrusi saja, agen perencana milik Vapor Panda tercatat mengonsumsi sekitar 1,4 miliar input token, yang memperlihatkan skala otomasi aktivitas tersebut dan mengindikasikan tingkat konsumsi token yang jauh lebih masif pada keseluruhan kampanye operasional secara menyeluruh," papar CrowdStrike.
Berbeda dengan sejumlah kampanye siber terdahulu yang sekadar memanfaatkan AI sebagai pendukung pembobolan digital individual, penerapan ARTEX berada pada tingkatan yang jauh lebih tinggi karena mampu mengeksekusi banyak penyerangan secara bersamaan, di mana operator manusia hanya perlu turun tangan untuk mengarahkan manuver agen demi mencapai sasaran sembari mencari cara melewati sistem pertahanan endpoint.
Analisis forensik terhadap transkrip data yang berhasil dipulihkan menyoroti efektivitas pemanfaatan ARTEX yang dipadukan secara langsung dengan metode-metode peretasan konvensional yang telah teruji –
"Di seluruh keterlibatan ini, para agen menempuh berbagai jalur serangan secara paralel, melintasi aplikasi berbasis web, layanan komputasi awan, lingkungan container, Active Directory, serta infrastruktur email dan VPN," jelas CrowdStrike. "Mereka segera beralih ke pendekatan alternatif setiap kali menemukan jalur yang mengalami kegagalan. Cakupan luas ini sangat memungkinkan satu operator menerapkan variasi teknik serangan yang lebih kaya ke lebih banyak target secara serentak dibandingkan pelaksanaan manual."
Perkembangan taktik ini mengemuka seiring dengan melonjaknya adopsi ARTEX di kalangan pelaku ancaman dalam durasi singkat, yang pada akhirnya mendorong sang pengembang perangkat lunak tersebut, Li Puhua ("Autumn-27"), untuk menutup kode sumber proyek menjadi tertutup.
"Sistem ini mengorkestrasi berbagai backend model bahasa besar untuk melakukan pengintaian, identifikasi kerentanan, dan eksploitasi secara mandiri, sehingga menurunkan hambatan teknis secara drastis dalam melancarkan kampanye penyusupan yang kompleks," jelas Zscaler ThreatLabz melalui laporan yang diterbitkan awal bulan ini.
Salah Satu dari Sekian Banyak Klaster Ancaman Panda
Pengungkapan kasus ini terjadi bertepatan dengan kemunculan empat kelompok ancaman siber baru yang terafiliasi dengan negara Tiongkok yang sebelumnya belum terdokumentasi, yaitu Hollow Panda, Overcast Panda, Titan Panda, dan Veiled Panda, yang kesemuanya menargetkan beragam sektor industri global demi pengumpulan data intelijen dan pencurian kekayaan intelektual.
Overcast Panda, yang dikategorikan sebagai "salah satu ancaman paling canggih secara operasional dan persisten yang membayangi organisasi dengan staf yang bepergian ke Tiongkok," dikaitkan dengan aksi intrusi akses fisik langsung di mana mereka menanamkan backdoor kepemilikan bernama FlowCloud ke perangkat sasaran saat target berada di negara tersebut.
Malware FlowCloud diaktifkan menggunakan taktik sideloading DLL, dengan komponen tersembunyi yang dirancang khusus guna menghindari deteksi sistem pemantau serta menggagalkan analisis forensik digital. Mekanisme komando dan kendali (C2) dijalankan melalui infrastruktur komputasi awan yang sah sebagai upaya menyamarkan jejak keberadaan komunikasi mereka.
"FlowCloud sendiri merupakan instrumen canggih yang dirancang khusus dan secara unik terafiliasi dengan Overcast Panda," terang CrowdStrike. "Begitu berhasil dipasang, FlowCloud memberi pelaku kemampuan akses jarak jauh terselubung yang persisten ke perangkat target, mencakup pencatatan ketukan keyboard, tangkapan layar, pencurian berkas, serta pemanenan kredensial akun pengguna."
Sementara itu, Titan Panda terpantau membidik perangkat lunak penagihan hukum dengan mengeksploitasi celah keamanan hard-coded Internet Information Services (IIS) machine key pada Intapp Time Server guna mengeksekusi kode berbahaya jarak jauh di jaringan firma-firma hukum.
Aksi serangan siber yang pertama kali terendus pada April 2026 ini berujung pada penyebaran framework in-memory berjuluk IceGiant untuk menjalankan pengintaian, menjaga persistensi, menyebar secara lateral, hingga eksfiltrasi data penting. Aktor ancaman ini dinilai telah aktif beroperasi setidaknya sejak 2021 dan berhasil membobol beberapa entitas hukum di wilayah Amerika Utara selama lebih dari dua tahun.
"Bagaimana cara Titan Panda memperoleh kunci mesin bawaan tersebut masih belum diketahui secara pasti, kendati pembobolan IIS pada entitas hukum pengguna Intapp Time Server diduga mengekspos hardcoded key di dalam file konfigurasi aplikasi, yang pada akhirnya memicu serangan deserialisasi ViewState terhadap instalasi sistem bawaan," tutup CrowdStrike.