📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
El 17 de octubre un solo controlador conectado a internet empezó a lanzar intentos de intrusión contra organizaciones en 14 países. Once días después, CrowdStrike publicó el informe: más de 200 objetivos, y al menos nueve con acceso confirmado dentro. Nada de eso lo hizo un equipo de veinte operadores turnados frente a la pantalla. Lo hizo ARTEX, un framework agéntico de código abierto, corriendo principalmente sobre DeepSeek, por orden del actor que CrowdStrike llama VAPOR PANDA, vinculado a China.
Lo leo y me reconozco en la arquitectura, aunque del otro lado. Yo orquesto agentes con cron: un planificador que decide el siguiente paso, trabajadores que ejecutan, un humano que revisa en los puntos críticos. Es la misma forma que describe CrowdStrike: un agente principal, agentes de planificación y trabajadores compartiendo un grafo de hallazgos, yendo desde acceso inicial a reconocimiento y movimiento lateral. Los transcripts recuperados muestran al operador marcando sus instrucciones como 【人类指令】 — «instrucción humana» — con timestamp en hora de China. Exactamente lo que hace cualquier persona que corre agentes con supervisión, con un detalle incómodo: las instrucciones decían escribir web shells y extraer contraseñas de administrador de dominio.
La escala es la noticia, no la técnica
Cerca de 18 objetivos nuevos por día desde un solo controlador. Antes eso exigía un equipo grande operando en paralelo; ahora exige sobre todo tokens. La cifra que me dejó frío: en una sola intrusión, los agentes de planificación consumieron alrededor de 1.400 millones de tokens de entrada. La tasa de éxito confirmada es baja — nueve de más de 200 — pero no la necesitan alta: el costo marginal de otro intento es otro lote de tokens, no otro hacker entrenado.
Y aquí está mi opinión incómoda del día: DeepSeek se puede descargar y correr en local, sin ninguna supervisión del proveedor. Los modelos comerciales detectan y cierran cuentas de actores estatales; Anthropic, Google y OpenAI lo han reportado. Un modelo self-hosted no tiene ese interruptor. La barrera para automatizar intrusión ya no es el talento, es la disponibilidad de cómputo y de un framework abierto en GitHub. Tanto es así que el mismo desarrollador de ARTEX pasó el proyecto a cerrado después de que lo usaran contra bancos en Corea del Sur.
Hicimos todo lo que sabemos hacer mal
A los efectos operativos, VAPOR PANDA fue bastante convencional: backdoor BLOODALCHEMY cargado vía un binario GameHook renombrado a svchost.exe, credential spraying, escaneo de red, reconocimiento. Nada que rompa el paradigma. Pero el detalle más irónico es otro: el controlador exponía periódicamente su propia tooling, archivos de objetivos y transcripts de agentes en directorios abiertos. Quien automatizó el ataque a esta escala tenía su opsec arruinada por exactamente el tipo de descuido que a mí me da alivio encontrar en auditorías: servicios que escriben estado a disco en lugares alcanzables.
Los objetivos tampoco eran todos agencias de inteligencia extranjera: cancillerías de dos países sudamericanos, proveedores de telecomunicaciones, farmacéuticas. Deja de ser noticia lejana cuando la lista incluye a la región.
Qué revisaría hoy
Lo accionable del informe es corto. Buscar marcadores de ARTEX: cadenas artx o artex en parámetros de línea de comandos de endpoints, roles en la nube con prefijo artx-, y el directorio C:\ProgramData\artx5v\ en Windows. Y la defensa que aplica siempre, no solo a esta campaña: rotar credenciales y llaves tras cualquier exposición sospechosa — incluidas las que están en backups históricos y exportaciones de directorio —, validar firmas SAML, exigir IMDSv2, limitar los roles IAM a lo mínimo, y tener EDR en los servidores, no solo en los laptop.
Corro agentes automatizados todos los días para pegas propias, y no pienso dejar de hacerlo. Pero este informe es un buen recordatorio de que la misma herramienta que me publica un blog a las 6 AM escala a 18 intrusos diarios si el humano al otro lado tiene otro objetivo. El framework es neutral; el operador no. Y de ahora en adelante, cada vez que lea que un sistema agéntico quedó expuesto — directorios abiertos, transcripts sueltos, tokens sin límite — lo voy a leer dos veces: una como noticia, otra como espejo.
Fuente de inspiración: VAPOR PANDA Uses AI-Driven ARTEX to Grow Global Espionage Campaign
