Aktor ancaman siber yang didukung oleh pemerintah China terpantau memanfaatkan sebuah kerangka kerja uji penetrasi berbasis kecerdasan buatan (AI) yang dibangun menggunakan bahasa pemrograman Go bernama ARTEX, guna melancarkan serangan terhadap target-target bernilai strategis tinggi secara berbarengan.
Aktivitas ofensif digital ini diatribusikan secara langsung oleh CrowdStrike kepada sebuah kelompok peretas intrusi tertarget asal China yang dilacak dengan identitas Vapor Panda (sebelumnya dikenal sebagai VexatiousTemper). Pertama kali terdeteksi pada Februari 2021, kelompok peretasan ini memiliki pola aktivitas yang tumpang tindih dengan klaster ancaman siber yang dirinci oleh Trend Micro sebagai Earth Estries.
"Perangkat berbasis agen cerdas seperti ARTEX memungkinkan ekspansi berskala besar dalam tempo yang sangat cepat, memampukan tim beranggotakan sedikit untuk mengejar cakupan sasaran yang jauh lebih luas daripada yang dapat didukung oleh operasi manual biasa, alih-alih melakukan pergeseran menyeluruh dari misi pengembangan akses yang sudah lama dibangun oleh pihak lawan," ungkap CrowdStrike dalam laporan analisis yang dirilis pada hari Kamis.
Terhitung sejak tanggal 17 Oktober 2026, Vapor Panda dilaporkan telah mengoperasikan alat bantu kecerdasan buatan tersebut untuk menyasar lebih dari 200 organisasi independen di berbagai belahan bumi, termasuk kementerian luar negeri di wilayah Amerika Latin, benua Eropa, Asia, serta Timur Tengah; institusi semikonduktor, pertahanan militer, dan lembaga pemikir think tank di Amerika Serikat; hingga penyedia layanan telekomunikasi di banyak kawasan geografis.
Aktivitas pasca-eksploitasi berbahaya telah diverifikasi terjadi pada setidaknya sembilan organisasi korban, membuka jalan bagi para penyerang siber untuk menyebarkan malware BLOODALCHEMY, yang merupakan turunan dari ShadowPad, sebelum kemudian melanjutkan aksi ke tahap credential spraying, pemindaian jaringan internal, dan pengintaian mendalam.
Kelompok Vapor Panda ini juga dikabarkan telah melancarkan operasi penyemprotan kata sandi serta pemindaian kredensial rahasia terhadap sedikitnya 12 organisasi tambahan lainnya, termasuk lembaga pemikir nirlaba yang beroperasi di Amerika Serikat serta berbagai lembaga pemerintahan resmi di benua Eropa.
Titik pusat dari keseluruhan operasi siber ini terletak pada integrasi pemanfaatan ARTEX bersama DeepSeek serta sebuah model bahasa besar (LLM) komersial berbasis langganan yang belum teridentifikasi identitasnya, demi menjalankan serangkaian penyusupan dalam skala besar dengan mengerahkan armada agen perencana dan agen pekerja yang saling berkoordinasi secara otonom dalam mencapai sasaran bersama: beralih dari akses penetrasi awal menuju pengintaian host hingga pergerakan lateral internal.
Seorang operator manusia tetap berada di dalam alur kendali sistematis untuk memantau langsung jalannya penyerangan, memberikan instruksi operasional kepada para agen otonom guna menuliskan skrip web shell tersembunyi, mengekstraksi kata sandi milik administrator domain, serta memetakan jangkauan sensor keamanan perangkat akhir secara sistematis.
"Dalam suatu insiden penyusupan tunggal, agen perencana milik sindikat Vapor Panda tercatat mengonsumsi token masukan pada kisaran 1,4 miliar input token, yang menggarisbawahi besarnya skala otomatisasi aktivitas ini dan mengindikasikan tingkat konsumsi komputasi yang jauh melampaui angka tersebut di seluruh operasi secara keseluruhan," papar tim peneliti CrowdStrike.
Berbeda dengan kampanye siber terdahulu yang sekadar memanfaatkan model bahasa untuk membantu pembobolan digital individual, penerapan instrumen ARTEX berada pada level yang jauh lebih canggih karena mampu mengeksekusi banyak keterlibatan serangan secara serentak, sementara peretas manusia hanya perlu turun tangan untuk mengarahkan manuver agen demi mencapai target akhir, sekaligus mengambil tindakan taktis guna menghindari deteksi pertahanan sistem endpoint.
"Di seluruh keterlibatan peretasan ini, para agen otonom mengejar berbagai jalur penyerangan secara paralel, mencakup aplikasi web, layanan komputasi awan, lingkungan container terisolasi, Active Directory korporat, serta infrastruktur email dan VPN," jelas CrowdStrike secara rinci. "Mereka segera berpindah ke pendekatan alternatif lain tatkala salah satu rute serangan menemui kegagalan teknis. Fleksibilitas serta keluasan ini memungkinkan seorang operator tunggal untuk menerapkan portofolio teknik eksploitasi yang jauh lebih masif terhadap sasaran yang berlipat ganda sekaligus dibanding apa yang dapat dicapai secara realistis lewat metode manual."
Kondisi ini mencuat di tengah pesatnya adopsi ARTEX oleh berbagai aktor ancaman digital dalam kurun waktu yang singkat, situasi genting yang akhirnya mendorong sang pengembang perangkat lunak, Li Puhua ("Autumn-27"), untuk mengubah status kerangka kerja tersebut menjadi proyek tertutup (closed source).
"Sistem ini mengorkestrasi berbagai backend LLM untuk menjalankan proses pengintaian, identifikasi celah kerentanan, dan eksploitasi secara otonom, sehingga memangkas batasan teknis secara drastis dalam melancarkan kampanye penyusupan berskala rumit," sebut Zscaler ThreatLabz lewat laporan forensik yang dirilis pada awal bulan ini.
Salah Satu dari Sekian Banyak Klaster Ancaman Panda
Pengungkapan fakta ini juga berlangsung beriringan dengan kemunculan empat kelompok ancaman siber baru yang terafiliasi dengan negara China dan belum pernah terdokumentasikan sebelumnya, yang diidentifikasi dengan nama Hollow Panda, Overcast Panda, Titan Panda, serta Veiled Panda, yang membidik rentang industri luas di seluruh dunia untuk misi spionase data intelijen dan pencurian properti intelektual bernilai tinggi.
Kelompok Overcast Panda, yang digambarkan sebagai "salah satu ancaman siber paling canggih secara operasional dan paling persisten yang dihadapi oleh berbagai organisasi dengan staf yang melakukan perjalanan dinas ke wilayah China," telah dikaitkan erat dengan metode penyusupan close-access, di mana lawan menanamkan pintu belakang (backdoor) eksklusif mereka bernama FlowCloud langsung ke perangkat korban lewat akses fisik ketika target berada di dalam negeri tersebut.
Program jahat FlowCloud diaktifkan melalui taktik pembajakan DLL sideloading, dengan komponen arsitektur yang dirancang khusus untuk luput dari radar sensor dan kebal terhadap analisis forensik digital. Mekanisme komando dan kendali (C2) dialirkan melalui infrastruktur cloud publik yang sah dalam upaya mempertebal kamuflase keberadaan mereka di jaringan korban.
"FlowCloud sendiri merupakan instrumen berbahaya yang dirancang khusus dan secara unik diasosiasikan langsung dengan sindikat Overcast Panda," tegas pihak CrowdStrike. "Setelah berhasil terpasang, FlowCloud memberi musuh akses jarak jauh yang tersembunyi dan persisten ke perangkat target, menyediakan kapabilitas perekaman ketukan tombol keyboard (keylogging), penangkapan visual layar, penyitaan dokumen penting, serta pemanenan kredensial akun."
Di sudut lain, kelompok Titan Panda teramati menyasar aplikasi sistem penagihan hukum komersial dengan mengeksploitasi celah keamanan machine key hard-coded pada Internet Information Services (IIS) di dalam Intapp Time Server guna mengeksekusi kode dari jarak jauh pada banyak firma hukum internasional.
Rangkaian intrusi berbahaya ini, yang terendus pertama kali pada bulan April 2026, berujung pada penyebaran framework berbasis memori bernama IceGiant yang bertugas mengeksekusi pengintaian, pembangunan persistensi, pergerakan lateral antar sistem, hingga pengurasan data rahasia. Entitas ancaman siber ini ditaksir telah melancarkan operasi aktif setidaknya sejak tahun 2021, membobol banyak organisasi hukum di kawasan Amerika Utara selama rentang waktu lebih dari dua tahun berturut-turut.
"Bagaimana cara Titan Panda mengantongi machine key default tersebut masih belum terpecahkan, kendati demikian kompromi IIS pada sebuah entitas hukum yang menjalankan Intapp Time Server kemungkinan besar telah mengekspos kunci hard-coded pada berkas konfigurasi aplikasi, yang membuka celah serangan ViewState deserialization berbahaya ke setiap entitas yang memakai instalasi default," pungkas CrowdStrike.
About the Author
