Hacker China Gunakan AI ARTEX untuk Serang 200 Organisasi di 14 Negara, Sembilan Berhasil Diretas
Kelompok hacker yang dikaitkan dengan China menggunakan framework artificial intelligence (AI) bernama ARTEX untuk melancarkan serangan siber otomatis terhadap lebih dari 200 organisasi di 14 negara.
Menurut laporan CrowdStrike yang diterbitkan pada 29 Oktober 2026, operasi tersebut berlangsung sejak 17 Oktober dan menargetkan kementerian pemerintahan, perusahaan telekomunikasi, serta organisasi di sektor farmasi, semikonduktor, pertahanan, energi nuklir, dan keuangan.
Kelompok yang dilacak sebagai Vapor Panda berhasil mengkompromikan sedikitnya sembilan organisasi. Mereka juga melakukan serangan password spraying dan pemindaian kredensial terhadap setidaknya 12 target strategis lainnya.
Yang membuat kampanye ini berbeda adalah penggunaan AI agent untuk menjalankan berbagai tahapan serangan secara paralel, sehingga satu operator dapat mengawasi sejumlah intrusi sekaligus.
ARTEX AI Digunakan untuk Mengotomatisasi Serangan Siber
ARTEX merupakan framework pengujian penetrasi berbasis AI yang awalnya dikembangkan sebagai proyek open-source oleh developer asal China.
Framework ini menggunakan pendekatan multi-agent, yaitu beberapa agen AI yang bekerja sama untuk menjalankan tugas berbeda.
Dalam operasi Vapor Panda, ARTEX menggunakan model bahasa DeepSeek bersama model AI komersial lainnya yang belum berhasil diidentifikasi CrowdStrike.
Sistem tersebut memiliki agen utama yang mengoordinasikan sejumlah agen perencana dan pelaksana.
Agen-agen tersebut dapat menjalankan berbagai aktivitas, seperti:
- Mengidentifikasi perangkat dan layanan yang dapat dijangkau.
- Mencari dan mengeksploitasi kerentanan keamanan.
- Mengumpulkan kredensial serta informasi jaringan.
- Memasang web shell untuk mempertahankan akses.
- Mencari jalur serangan alternatif apabila metode sebelumnya gagal.
Meski banyak tugas dijalankan secara otomatis, operator manusia tetap terlibat dalam pengambilan keputusan penting.
CrowdStrike menemukan instruksi berbahasa Mandarin yang digunakan untuk mengarahkan aktivitas agen AI.
Dalam salah satu intrusi, agen perencana ARTEX tercatat mengonsumsi sekitar 1,4 miliar input token, menunjukkan besarnya aktivitas pemrosesan AI yang digunakan.
Target Meliputi Pemerintah dan Infrastruktur Strategis
CrowdStrike mengamati bahwa serangan dilakukan melalui satu pengendali ARTEX yang diarahkan ke lebih dari 200 organisasi selama periode 11 hari.
Target mencakup kementerian luar negeri di Amerika Latin, Eropa, Asia, dan Timur Tengah.
Di Amerika Serikat, kelompok tersebut menargetkan 19 organisasi dari sektor farmasi, semikonduktor, pertahanan, nuklir, dan keuangan.
Perusahaan telekomunikasi di Amerika Serikat, Belgia, dan Filipina juga dilaporkan berhasil dikompromikan.
Sementara itu, beberapa organisasi pemerintahan di Amerika Latin dan Timur Tengah menjadi sasaran operasi yang lebih mendalam.
CrowdStrike mengonfirmasi aktivitas setelah kompromi pada sembilan organisasi, termasuk penyebaran malware, pemindaian jaringan internal, dan upaya memperoleh akses lanjutan.
Namun, jumlah 200 organisasi yang menjadi target tidak berarti seluruhnya berhasil diretas.
AI Agent Berhasil Mengakses Email Pemerintah Yunani
Salah satu contoh serangan yang dijelaskan CrowdStrike melibatkan sebuah lembaga pemerintah di Yunani.
Dalam kasus tersebut, operator memberikan kepada ARTEX arsip direktori server email yang berasal dari tahun 2022.
Arsip tersebut mengandung kunci autentikasi yang diduga belum pernah diganti sejak data diekspor.
Agen AI kemudian menggunakan kunci tersebut untuk membuat token administrator palsu dan mengakses mailbox dalam sistem email.
Dari informasi yang ditemukan, penyerang juga memperoleh konfigurasi VPN yang dapat digunakan untuk menjangkau jaringan internal organisasi.
Kasus ini memperlihatkan bahwa kredensial lama yang tidak dicabut atau diganti tetap dapat digunakan untuk melakukan serangan, bahkan bertahun-tahun setelah informasi tersebut terekspos.
Dalam serangan lain terhadap perusahaan farmasi Amerika Serikat, ARTEX memanfaatkan kelemahan autentikasi SAML dan XML External Entity (XXE) untuk memperoleh akses terhadap layanan cloud dan sistem internal.
Hacker Perintahkan AI Menghindari Komputer dengan CrowdStrike Falcon
CrowdStrike juga menemukan bahwa operator Vapor Panda menggunakan AI untuk mengidentifikasi perangkat yang memiliki perlindungan keamanan.
Dalam salah satu instruksi, operator meminta ARTEX mencari komputer Windows yang tidak menggunakan sensor keamanan CrowdStrike Falcon.
Agen kemudian memeriksa proses serta direktori tertentu untuk mengidentifikasi keberadaan software perlindungan endpoint.
Perangkat yang tidak memiliki sensor keamanan tersebut diprioritaskan sebagai target serangan lanjutan.
Strategi ini menunjukkan bagaimana AI tidak hanya digunakan untuk mempercepat eksploitasi, tetapi juga membantu penyerang memilih target yang dianggap memiliki pertahanan lebih lemah.
Menurut CrowdStrike, penggabungan otomatisasi AI dengan teknik serangan konvensional memungkinkan kelompok kecil menjalankan operasi dengan cakupan jauh lebih luas.
Malware BLOODALCHEMY Digunakan untuk Mempertahankan Akses
Selain ARTEX, CrowdStrike menemukan penggunaan backdoor bernama BLOODALCHEMY dalam serangan terhadap organisasi pemerintah di Amerika Latin dan Timur Tengah.
Malware tersebut telah dikenal sejak 2023 dan digunakan untuk menyediakan akses tersembunyi terhadap sistem yang dikompromikan.
Dalam operasi terbaru, penyerang memanfaatkan executable sah yang diubah namanya menjadi svchost.exe untuk memuat file DLL berbahaya.
Teknik tersebut memungkinkan malware dijalankan melalui komponen yang terlihat menyerupai proses Windows normal.
Setelah aktif, BLOODALCHEMY berkomunikasi dengan server command-and-control yang dikendalikan penyerang.
Penggunaan malware tersebut memperlihatkan bahwa ARTEX berfungsi sebagai alat otomatisasi serangan, sementara akses jangka panjang masih dapat dipertahankan melalui backdoor konvensional.
ARTEX Juga Digunakan dalam Serangan terhadap DIVD
Dalam kasus terpisah, Dutch Institute for Vulnerability Disclosure (DIVD) mengungkap bahwa ARTEX digunakan dalam serangan terhadap infrastrukturnya pada September 2026.
Menurut DIVD, agen AI tersebut hanya membutuhkan sekitar 12 menit untuk meningkatkan akses awal hingga memperoleh hak akses root.
Serangan memanfaatkan dua kerentanan zero-day, termasuk kelemahan pada aplikasi Zammad.
DIVD mencatat lebih dari 450.000 request dan sekitar 2.500 script selama aktivitas serangan berlangsung.
Namun, insiden DIVD tidak secara otomatis dapat dikaitkan dengan Vapor Panda. ARTEX telah digunakan oleh beberapa aktor ancaman berbeda.
Serangan Berbasis AI Menjadi Ancaman Baru bagi Perusahaan
CrowdStrike memperingatkan bahwa penggunaan framework AI seperti ARTEX berpotensi mempercepat dan memperluas operasi spionase siber.
Dengan bantuan AI agent, penyerang dapat menjalankan pengintaian, eksploitasi, dan pergerakan lateral terhadap sejumlah organisasi dalam waktu bersamaan.
Untuk mengurangi risiko, organisasi disarankan memperbarui perangkat yang terhubung ke internet, menerapkan pembatasan hak akses, serta memastikan kredensial lama dan kunci autentikasi yang pernah terekspos telah diganti.
Administrator juga perlu memantau aktivitas tidak biasa pada layanan cloud, Active Directory, VPN, serta lingkungan container.
CrowdStrike merekomendasikan penggunaan perlindungan endpoint dan pemantauan keamanan secara menyeluruh, termasuk pada server yang tidak dapat diakses langsung dari internet.
Kampanye Vapor Panda menunjukkan bagaimana AI mulai digunakan sebagai alat operasional serangan siber berskala besar, memungkinkan satu operator manusia mengendalikan banyak agen untuk menyerang berbagai organisasi secara bersamaan.
Sumber: CrowdStrike — VAPOR PANDA Uses AI-Driven ARTEX to Scale a Global Espionage Campaign
