黑客用 DeepSeek 智能体并行渗透 200 机构：没装猎鹰的机器先打

红队安全圈
红队安全圈

红队安全圈

2026年10月30日 21:05
重庆

去阅读

VAPOR PANDA 用开源智能体框架 ARTEX 加 DeepSeek 等 LLM，同时向 200 多个机构发起并行渗透，还把“找没装猎鹰的机器”直接写进了智能体指令。

01  这事为什么重要

从 2026 年 10 月 17 日开始，攻击方用一个 ARTEX 控制器，在 11 天窗口内对至少 14 个国家的实体发起行动，目标超过 200 个组织，包括拉美、欧洲、亚洲、中东的多个外交部；美国的半导体、国防、智库机构；多地的电信运营商。攻击方同时使用了DeepSeek 大模型和另一个商业 LLM 来执行入侵。

先说清楚边界：这次行动与近期业界以 Storm-0940 代号报告的 ARTEX 活动是两条独立的线。之前也有过经济犯罪团伙和未归因团伙用 ARTEX 和类似智能体框架的记录，但这次不一样——这是一个定向入侵团伙用 ARTEX 同时对多个高价值目标跑并行渗透。遥测里还补上了公开报告没有的细节：BLOODALCHEMY 后门的部署和 C2 基础设施。

这次行动标志着一个升级：击方对 AI 智能体的使用，从单次入侵跳到了“一个人类操作员指挥多个同时进行的入侵”。更关键的是，对方把端点传感器规避直接写进了智能体工作流——智能体的指令里明确包含“识别没有装 CrowdStrike Falcon 传感器的主机”。

02  目标选择

从 10 月 17 日起，能观察到一个 ARTEX 控制器在 11 天内对至少 14 个国家的实体发起行动。这个控制器间歇性地暴露了攻击工具、目标文件和 ARTEX 智能体的对话记录——说明它同时在跑多个“任务”。

具体落点：

•  对两个拉美国家的外交部完成深度入侵，很可能还攻陷了第三个；给中美洲和亚洲的外交部准备了目标文件

•  攻陷一个中东国家的内政部

•  一条线专攻单个欧洲国家：外交部、总统府、总理府，加上国防、司法、财政和情报机构

•  另一条线对 19 个美国机构下手，覆盖制药、半导体、国防、核能、金融

•  攻陷美国、比利时、菲律宾的电信运营商

确认发生后渗透活动的有 9 个组织：拿到权限、部署 BLOODALCHEMY、随后做密码喷洒、内网扫描和侦察。另外至少 12 个组织被做了密码喷洒和凭据扫描，包括美国智库和欧洲政府实体。

03  操作内幕

模型层：VAPOR PANDA 主要跑 DeepSeek，辅以另一个订阅制的商业 LLM（未能确认是哪家）。单次入侵中，规划智能体消耗了约 14 亿输入 tokens——单次就这个量级，整个行动的总消耗可想而知。

整个行动依赖的是开源组件叠加在商业 LLM 订阅上。这说明了一件事：攻击方几乎全用公开资源就能搭出可扩展的多智能体入侵流水线。

框架层：ARTEX 用一个主智能体协调下属的 planner 和 worker 智能体，共享一张由事实、发现和目标构成的图，把每次入侵从初始访问推进到主机侦察和横向移动。

以前也见过攻击者用 AI 智能体辅助单次入侵，但这次是多个行动同时跑，人类只在决策点介入。恢复的记录和工具文件显示，对方把 AI 工作流和成熟手法结合得相当扎实，挑三个最有代表性的：

美国药企 A：智能体把一条未签名的 SAML assertion 和一个 XXE 漏洞串起来查询云 Instance Metadata Service，拿到一个能向数千实例下发管理命令的角色，随后提权恢复了企业级管理员账号。

美国药企 B：智能体部署 web shell，利用一个未认证的编排服务在生产容器环境拿到 root，读取 LAPS（Local Administrator Password Solution）密码，再利用 resource-based constrained delegation 冒充特权账号。

希腊政府实体：操作员给智能体喂了一份 2022 年的邮件服务器目录导出，里面的认证密钥导出后大概率就没轮换过。智能体用这些密钥伪造管理员 token、读取邮箱，然后从用户已发送邮件里翻出 VPN 配置，配合操作员描述为 2024 年 5 月邮件泄露得来的 VPN 客户端密钥，进了内网。

这些行动里，智能体并行追多条攻击路径：Web 应用、云服务、容器环境、Active Directory、邮件和 VPN 基础设施，一条路断了就换下一条。这种广度意味着一个操作员能同时对更多目标施展更多手法——手工操作根本做不到这个规模。

最值得琢磨的一段：对方直接指挥智能体做端点防御规避。在某全球药企的行动中，操作员给智能体的指令是：

在域里寻找没有装猎鹰的windows机器，从tasklist和文件夹目录判断

后续动作就能集中在没有防护的主机上——这对防守方的启示很直接：你的覆盖盲区，就是 AI 优先打击的目标。

04  BLOODALCHEMY

在某中东内政部和某拉美外交部，VAPOR PANDA 部署了 BLOODALCHEMY——2023 年 10 月首次公开的后门。加载链：

01  合法的 GameHook 二进制改名为 svchost.exe

02  它加载恶意 DLL graphics-hook-filter64.dll

03  DLL 解密 BLOODALCHEMY 载荷文件 graphics-hook\_config.bin

三个文件都放在暴露的开放目录里。植入体内部带有项目路径 D:\ProjectX\Merman\_New\，大概率反映了它的内部开发代号。

BLOODALCHEMY 与 VAPOR PANDA 基础设施通信。这些 IOC 不在之前的公开 ARTEX 报告里，文末附完整清单。

05  判断

VAPOR PANDA 从 2021 年起主要打欧洲、北美、大洋洲和英国的政府、智库、能源、采掘类组织，做长期访问。这次是它首次被观察到使用 AI 驱动的入侵工具，同时目标面明显扩宽：制药、半导体、核能、国防，加上新地区的外交部。ARTEX 这类智能体工具让小团队可以快速铺开更大的目标集，而不是放弃原本的访问开发任务。同时用 DeepSeek 加另一个商业 LLM、通过定制 harness 运行，说明对方刻意在多家模型供应商之间做冗余，不把工具链押在任何一家上。

06  实战技巧：红队和蓝队各能带走什么

蓝队：

•  任何疑似数据暴露后，立即轮换签名密钥、预认证密钥、服务凭据——包括历史备份和目录导出里的密钥。2022 年的导出文件在 2026 年还能直接进内网，这就是不轮换的代价

•  强制 SAML 签名校验；云上强制 IMDSv2；云角色的命令执行权限收紧到最小实例集

•  猎 ARTEX 痕迹：命令行参数含 artx / artex 字符串、artx- 前缀的云角色、art18- 管理命令注释、C:\ProgramData\artx5v\ 目录

•  互联网暴露的设备打补丁，尤其是长期运行的 Linux 服务器，系统和固件都保持最新

•  全环境部署 EDR，包括你以为“公网访问不到所以不用装”的服务器——对方现在会主动盘点你的盲区

红队：

这条情报本质上是给 agentic 攻击自动化做了一次公开的“参考架构”——主智能体 + planner/worker 分层、共享事实图、人类在环决策点、多模型冗余。里面 XXE 打 IMDS、未认证编排服务拿 root、RBCD 冒充、旧导出密钥伪造 token，全是传统手法，新东西只有“编排方式”。防守方的检测面也因此清晰了：与其检测 AI，不如盯住这些手法本身的组合密度和 token 消耗异常。

关注不迷路，更新看得见。

— END —