El hackeo con IA se globaliza: grupos chinos usan ARTEX para automatizar el espionaje cibernético
- CrowdStrike afirma que el grupo chino Vapor Panda utilizó el marco de pruebas de penetración con IA ARTEX para atacar a más de 200 organizaciones en al menos 14 países a partir del 17 de octubre, aunque confirmó violaciones solo en nueve.
- Campañas separadas de Storm-0940 contra ConnectWise y un actor motivado financieramente contra bancos surcoreanos muestran a ARTEX extendiéndose entre diferentes atacantes.
- Esto ha aumentado la velocidad y la escala de los ataques contra bancos, fabricantes de chips, empresas farmacéuticas, telecomunicaciones y sus cadenas de suministro.
Los grupos de hackers vinculados a China están incrementando sus ataques con la ayuda de una tecnología de pruebas de penetración impulsada por IA llamada ARTEX. Según CrowdStrike, Vapor Panda ha estado utilizando esta herramienta desde el 17 de octubre de 2026 en sus ataques contra más de 200 organizaciones en todo el mundo. Gran parte del trabajo lo realiza la IA, mientras que la toma de decisiones final es realizada por humanos.
Agentes planificadores y ejecutores que exploran múltiples rutas simultáneamente
ARTEX se basa en un agente principal para gestionar a los agentes "planificadores", que diseñan los ataques, y a los agentes "ejecutores", que los llevan a cabo. Los agentes trabajan juntos compartiendo hallazgos mientras escanean sistemas, explotan vulnerabilidades y navegan por las redes. Según la información proporcionada por CrowdStrike, Vapor Panda utilizó DeepSeek junto con un sistema de IA comercial desconocido. Durante un solo ataque, los agentes planificadores utilizaron 1.400 millones de tokens de entrada.
La campaña alcanzó al menos 14 países. Los objetivos incluyeron ministerios de relaciones exteriores y proveedores de telecomunicaciones. En Estados Unidos, los atacantes se dirigieron a 19 organizaciones de los sectores farmacéutico, de semiconductores, defensa, nuclear y financiero.
Sin embargo, el que la operación fuera de gran escala no significaba que todos sus ataques fueran exitosos. CrowdStrike confirmó actividades postexplotación en solo nueve empresas, incluido el uso del backdoor BLOODALCHEMY. Posteriormente, operadores humanos tomaron el control mediante la creación de web shells, la extracción de contraseñas y la localización de máquinas desprotegidas.
De ConnectWise a Microsoft 365, un segundo grupo amplía su alcance
ARTEX también estaba siendo utilizado por Storm-0940, otro grupo de hackers vinculado a China. Según Microsoft, el grupo comenzó a usar la herramienta tan pronto como en septiembre de 2026. Atacó a cientos de organizaciones y obtuvo acceso privilegiado a la nube en menos de tres horas en varios casos. Microsoft también vinculó al grupo con la vulnerabilidad de ConnectWise Cloud Backup.
La magnitud de sus ataques fue impresionante. Microsoft registró más de 151.000 inicios de sesión fallidos entre el 10 y el 14 de octubre contra 327 cuentas en ocho empresas. Los picos alcanzaron los 2.900 intentos por minuto. Sin embargo, no se observó ningún inicio de sesión exitoso.
La vulnerabilidad de ConnectWise fue una parte separada de la actividad del grupo. Tras esa brecha, los atacantes también intentaron cambiar las credenciales de las aplicaciones en la nube, como previamente informó Cryptopolitan.
Un actor motivado por el dinero ataca bancos surcoreanos
Una tercera campaña de ARTEX tenía un motivo diferente. A finales de septiembre de 2026, los atacantes utilizaron la herramienta contra instituciones financieras surcoreanas, según informó Zscaler. Robaron información personal perteneciente a unas 67.000 personas.
Zscaler evaluó al atacante como hablante de chino y motivado financieramente, con moderada confianza. No confirmó ningún patrocinio estatal. CrowdStrike también encontró archivos de ARTEX y registros de Claude Code en sistemas controlados por los atacantes.
Cómo el hacking se volvió agéntico
Pero el avance hacia el hacking automatizado comenzó mucho antes de ARTEX. En 2025, Anthropic descubrió una campaña patrocinada por el Estado chino que utilizó Claude Code contra aproximadamente 30 objetivos. La IA manejó entre un 80% y un 90% estimado del trabajo.
Google también ha documentado cómo los atacantes están pasando más allá de simples prompts de IA hacia operaciones autónomas. Estas actividades anteriores fueron independientes de las campañas de ARTEX, pero muestran lo rápido que está evolucionando el hacking impulsado por IA.
Qué podría significar para los bancos, las empresas de chips y los proveedores de nube
Los riesgos se extienden más allá de las organizaciones ya objetivo. Los bancos enfrentan posibles brechas en los datos de sus clientes, mientras que los fabricantes de chips podrían perder propiedad intelectual valiosa. Los proveedores de nube enfrentan otra preocupación: credenciales de aplicaciones comprometidas que podrían exponer a múltiples clientes.
Los datos del sector explican por qué los ataques más rápidos preocupan a las empresas. Verizon encontró que la intrusión en sistemas representó el 61% de las violaciones en su informe de 2026. Microsoft informó que las cargas de trabajo en la nube expuestas enfrentaron ataques en un promedio de 5,3 horas.
Mientras tanto, el World Economic Forum encontró que el 65% de las grandes empresas consideraba las vulnerabilidades de terceros y de la cadena de suministro su mayor desafío de ciberseguridad, un aumento desde el 54% en 2025.
A medida que los ataques se vuelven más rápidos y automatizados, las empresas pueden desplazar el gasto en seguridad hacia controles de identidad más sólidos, detección más rápida y un monitoreo más estrecho de los proveedores.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Qué es ARTEX?
ARTEX es un marco de pruebas de penetración basado en agentes desarrollado en China, escrito en Go, que se integra con modelos de lenguaje grandes para automatizar el reconocimiento, la identificación de vulnerabilidades y la explotación. Su desarrollador, Li Puhua ("Autumn-27"), lo volvió de código cerrado después de que se extendiera entre actores de amenazas.
¿Cuántas organizaciones fueron realmente vulneradas en la campaña Vapor Panda?
CrowdStrike confirmó la postexplotación en nueve de las más de 200 organizaciones objetivo desde el 17 de octubre; el resto fueron intentos o no confirmados. En el caso separado de Storm-0940 ConnectWise, Huntress reportó 162 inquilinos de clientes comprometidos.
¿Es esto todo una operación china coordinada?
No. Vapor Panda de CrowdStrike, Storm-0940 de Microsoft y el atacante surcoreano sin nombre de Zscaler son actores distintos con objetivos diferentes, y Zscaler evaluó que este actor tiene motivaciones financieras en lugar de confirmar que esté patrocinado por un Estado. Comparten la herramienta ARTEX, no un único comando.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Ibiam Wayas
Ibiam Wayas cubre la noticia de criptomonedas desde 2019. Estudió Ciencias de la Computación en la Universidad Abierta Nacional de Nigeria. Su trabajo ha aparecido en diversas plataformas de noticias sobre criptomonedas, incluyendo Coinfomania, Crypto News Australia y AltcoinBuzz. Aprovechando su formación en Ciencias de la Computación, ahora se centra en noticias sobre criptomonedas, robótica y longevidad.
