CrowdStrike: China-nahe Spionagegruppe griff mit KI-Agenten in elf Tagen über 200 Organisationen an

Eine Spionagegruppe, die CrowdStrike Vapor Panda nennt und China zuordnet, setzte ab dem 17. Oktober KI-Agenten gegen Außenministerien, Pharmakonzerne und Telekommunikationsanbieter in mindestens 14 Ländern ein. Die Agenten liefen überwiegend mit dem Sprachmodell von DeepSeek. Bei neun Organisationen bestätigt CrowdStrike einen Einbruch mit installierter Hintertür.

„Finde in der Domäne Windows-Rechner ohne Falcon, erkennbar an der Prozessliste und an Ordnerinhalten“, wies ein Angreifer die Agenten in einem weltweit tätigen Pharmakonzern an, auf Chinesisch und mit Zeitstempel in chinesischer Ortszeit.^[1] Falcon ist die Sicherheitssoftware von CrowdStrike. Der Mensch griff nur ein, wenn etwas zu entscheiden war, die übrige Arbeit erledigten die Agenten.

Wie gingen die Agenten vor?

ARTEX teilt die Arbeit zwischen einem Hauptagenten und untergeordneten Agenten für Planung und Ausführung auf. Vapor Panda betrieb das System vor allem mit DeepSeek und einem zweiten, kostenpflichtigen Sprachmodell, das CrowdStrike nicht bestimmen konnte. Für einen einzigen Einbruch verbrauchten die Planungsagenten rund 1,4 Milliarden Eingabe-Token. Scheiterte ein Weg, wechselten die Agenten zum nächsten: Webanwendungen, Cloud-Dienste, Container, Active Directory, Mail- und VPN-Server.^[1]

Bei einem US-Pharmaunternehmen kombinierte ein Agent eine nicht signierte Anmeldebestätigung im SAML-Verfahren, die der Server trotzdem annahm, mit einer Schwachstelle beim Einlesen von XML-Daten (XXE). So fragte er den Metadatendienst der Cloud ab und erhielt Zugriffsrechte, mit denen er Befehle an Tausende virtuelle Server schicken konnte. Beim Metadatendienst von Amazon Web Services genügt in Version 1 dafür eine einfache Leseanfrage. Version 2 verlangt vorher ein Sitzungstoken, das nur eine eigene PUT-Anfrage liefert.^[2] Über eine XXE-Schwachstelle lassen sich in der Regel nur einfache GET-Abfragen absetzen.

Warum funktionierten Schlüssel aus dem Jahr 2022 noch?

Bei einer griechischen Regierungsstelle gab der Angreifer dem Agenten einen Export des Benutzerverzeichnisses vom Mailserver aus dem Jahr 2022. Die Schlüssel darin hatte offenbar seitdem niemand ausgetauscht. Der Agent fälschte damit ein Administrator-Token und las Postfächer. In gesendeten Mails fand er VPN-Konfigurationen, ein VPN-Schlüssel aus im Mai 2024 abgeflossenen E-Mails brachte ihn ins interne Netz.^[1]

Neu ist die Gleichzeitigkeit. Im November 2025 hatte Anthropic eine vom chinesischen Staat unterstützte Gruppe gemeldet, die Claude Code gegen rund 30 Ziele einsetzte und 80 bis 90 Prozent der Arbeit der KI überließ.^[3] Anfang Oktober fand CrowdStrike ARTEX bei den Bankenhacks in Südkorea, am 21. Oktober ordnete Microsoft den Angriff über ConnectWise der Gruppe Storm-0940 zu. Vapor Panda ist laut CrowdStrike eine andere Gruppe, das Werkzeug verbreite sich offenbar unter mehreren China-nahen Angreifern.

Die Kampagne von Vapor Panda

Was CrowdStrike über elf Tage beobachtete, Stand 29. Oktober 2026

über 200

Organisationen griffen die Agenten ab dem 17. Oktober an

14

Länder mindestens, von Lateinamerika über Europa bis Asien

9

Organisationen mit bestätigtem Einbruch und installierter Hintertür

1,4 Mrd.

Eingabe-Token verbrauchten die Planungsagenten bei einem einzigen Einbruch

2022

stammte der Export des Benutzerverzeichnisses, dessen Schlüssel noch gültig waren

Quelle: CrowdStrike Intelligence und OverWatch (29. Oktober 2026)

© 2026 Dr. Web | Das Fachportal für Entscheider | Infografik von Dr. Web

Was sollten Unternehmen in Europa jetzt prüfen?

Neben Griechenland traf die Kampagne einen Telekommunikationsanbieter in Belgien. In einem weiteren europäischen Land richtete sie sich gegen Regierungsspitze, Ministerien und Nachrichtendienst. Den Namen des Landes nennt CrowdStrike nicht. Das BSI-Gesetz verlangt von Einrichtungen, die unter NIS2 fallen, Konzepte für Kryptografie und Zugriffskontrolle.^[4] Erhebliche Sicherheitsvorfälle gehen binnen 24 Stunden als Erstmeldung an das BSI.^[5] CrowdStrike rät:

• Signaturschlüssel und Zugangsdaten von Dienstkonten nach jedem Verdacht auf Datenabfluss austauschen, auch solche in alten Sicherungen und Exporten
• SAML-Signaturen prüfen, Version 2 des Metadatendienstes erzwingen und Cloud-Berechtigungen so beschränken, dass sie nur auf den nötigen Servern Befehle ausführen dürfen
• nach Spuren von ARTEX suchen, etwa Befehlszeilen mit „artx“ oder „artex“ und dem Ordner C:\ProgramData\artx5v\
• aus dem Internet erreichbare Server aktuell halten, gerade Linux-Server, die seit Jahren ohne Neuinstallation laufen

Dazu empfiehlt der Anbieter eine EDR-Software zur Angriffserkennung auf allen Rechnern, etwa das eigene Falcon. Für die kommenden zwölf Monate erwartet CrowdStrike, dass weitere China-nahe Gruppen Agenten-Systeme wie ARTEX mit kommerziellen Sprachmodellen kombinieren.

Quellen

Mehr Newshunger?

• Bankenhacks in Südkorea: CrowdStrike findet DeepSeek in Claude Code
• Microsoft: Staatsnahe Hacker aus China griffen mit KI-Agenten über ConnectWise mehr als 2.250 Microsoft-365-Mandanten an
• PHP2Shell: Mutmaßlich chinesische Angreifer übernehmen 25 Server, auch bei einer regierungsnahen US-Organisation
• DeepSeek sammelt 105 Mrd. Yuan ein, staatliche Geldgeber zahlen 27 Prozent
• Claude-Code-Erweiterung: Manipulierte Version 2.1.313 versuchte, eine SSH-Hintertür einzurichten
• Anthropic wirft Zhipu und Moonshot KI-Destillation vor und zieht die Schrauben an