KIberblick

ARTEX: Spionage mit KI-Agenten auf DeepSeek

CrowdStrike beschreibt eine chinesische Spionagekampagne mit dem Agenten-Framework ARTEX auf DeepSeek-Basis. Wie die Agenten vorgingen und was hilft.

Entwickler:inQA / Tester:in
3. November 20265 Min. Lesezeit

Dass Angreifer KI-Agenten einsetzen, ist nicht mehr neu. Neu ist der Maßstab. Die Sicherheitsfirma CrowdStrike beschreibt in einem Bericht vom 29.10.2026, wie die chinesische Gruppe Vapor Panda mit dem Agenten-Framework ARTEX innerhalb von elf Tagen über 200 Organisationen in mindestens 14 Ländern angegangen ist. Die Kampagne begann am 17.10.2026.

Wer betroffen ist

Ziele waren vor allem Außenministerien und Regierungsstellen, daneben US-Firmen aus Halbleiter, Verteidigung, Pharma, Nuklear und Finanzen, Think Tanks sowie Telekomanbieter in den USA, Belgien und auf den Philippinen. Aus Europa führt CrowdStrike eine griechische Regierungsstelle auf und ein Land, dessen Namen der Bericht offenlässt. Dort standen gleich mehrere Ministerien und das Präsidialamt im Visier. Deutschland, Österreich und die Schweiz tauchen im Bericht nicht auf.

Bestätigt hat CrowdStrike Aktivität nach einem erfolgreichen Einbruch bei neun Organisationen. Bei mindestens zwölf weiteren liefen Password Spraying und Scans nach Zugangsdaten. Vapor Panda ist seit 2021 aktiv und war bisher eher auf Regierungen, Think Tanks und den Energiesektor aus. ARTEX diene vermutlich dazu, mehr Zugänge in kürzerer Zeit aufzubauen, nicht einem neuen Auftrag.

So arbeitet ARTEX

Ein Hauptagent koordiniert Planungs- und Arbeitsagenten, alle teilen sich einen Graphen aus Fakten, Funden und Zielen. Als Modell lief vor allem DeepSeek, dazu ein zweites, kommerzielles Modell im Abo, das CrowdStrike nicht identifizieren konnte. Allein die Planungsagenten eines einzigen Einbruchs verbrauchten rund 1,4 Milliarden Input-Token.

Ganz allein liefen die Agenten nicht. In den Protokollen finden sich chinesische Anweisungen, die als menschliche Eingabe markiert sind. Ein Operator griff an Entscheidungspunkten ein, etwa mit dem Auftrag, Windows-Rechner ohne CrowdStrikes eigenen Sensor zu finden und die weitere Arbeit auf diese ungeschützten Hosts zu konzentrieren.

Die Einstiege, die CrowdStrike schildert, sind meist alte Bekannte:

  • bei einem Pharmaunternehmen eine nicht signierte SAML-Assertion und eine XXE-Lücke, darüber der Cloud-Metadatendienst und am Ende ein Enterprise-Admin-Konto,
  • bei einem zweiten ein Orchestrierungsdienst ohne Authentifizierung mit Root-Zugriff auf Container,
  • bei der griechischen Behörde ein Verzeichnisexport von 2022 mit nie rotierten Schlüsseln, dazu ein VPN-Schlüssel aus einem Leak von 2024.

Bemerkenswert ist die Breite: Die Agenten probieren Webanwendung, Cloud, Container, Active Directory, Mail und VPN parallel und wechseln den Weg, wenn einer scheitert. CrowdStrike betont, dass sich so etwas weitgehend aus öffentlich verfügbaren Bausteinen und Modell-Abos zusammensetzen lässt. Ein zweiter, nicht zugeordneter Akteur hat ARTEX laut CrowdStrike gegen Finanzfirmen in Südkorea eingesetzt. CrowdStrike rechnet damit, dass weitere China-nahe Gruppen solche Frameworks in den nächsten zwölf Monaten übernehmen.

Was Verteidiger tun können

CrowdStrikes Empfehlungen sind unspektakulär, und gerade deshalb lohnt der Blick:

  • Schlüssel rotieren: Signing-Keys und Service-Zugänge nach jedem möglichen Abfluss erneuern, auch solche, die in alten Backups und Exporten liegen.
  • SAML und Cloud härten: Signaturprüfung für SAML erzwingen, IMDSv2 verlangen, Cloud-Rollen auf das Nötige beschränken.
  • Perimeter patchen: vor allem langlebige Linux-Server mit Internetzugang.
  • Nach Spuren suchen: Befehlszeilen mit "artx" oder "artex", Cloud-Rollen mit dem Präfix "artx" und das Verzeichnis C:\ProgramData\artx5v\.

Für alle, die selbst Agenten bauen, steckt darin auch ein Spiegel: Was Angreifer hier tun, ist im Kern dasselbe, was ein Coding-Agent im eigenen Netz mit zu vielen Rechten tun könnte. Der Beitrag über den Einbruch mit fünf Agenten in zehn Stunden zeigt, wie schnell das geht.

Ein Fall mit DACH-Bezug am Rand

BleepingComputer bringt ARTEX in seinem Bericht vom 02.11.2026 auch mit dem Einbruch beim niederländischen Institut für Schwachstellenmeldungen DIVD vom 21.09.2026 in Verbindung. DIVD selbst hatte damals keinen Akteur genannt, nur von einem autonom handelnden KI-Agenten gesprochen. Der Agent nutzte zwei Zero-Days im Ticketsystem Zammad, das aus Berlin stammt und in der DACH-Region verbreitet ist: CVE-2026-102489 (Codeausführung ohne Anmeldung, Zammad 6.3.0 bis 6.5.4) und CVE-2026-102490 (Rechteausweitung zu root). Laut Help Net Security empfiehlt Zammad das Update auf Version 7. Wer noch eine 6er-Instanz betreibt, sollte das unabhängig von der Frage der Zuordnung tun.

Quellen4