单个 ARTEX 控制器 11 天内指向至少 14 国。200+ 是目标数，不是失陷数。ARTEX 不是唯一工具，还有 BLOODALCHEMY 后门、Webshell、Chisel、SoftEther。
已确认受害
- 中东一国内政部
- 两个拉美国家外交部
- 美国、比利时、菲律宾的电信运营商
- 另有未具名组织（CrowdStrike 确认 9 家后渗透）
目标
- 200+ 个组织、至少 14 国
- 一个欧洲国家的多个部门
- 19 家美国组织
- 中美洲和亚洲外交部（准备目标文件）
归因
- ARTEX 依据
- CrowdStrike 依据控制器数据，模型主要用 DeepSeek。
- 攻击者
- CrowdStrike：China-nexus；VAPOR PANDA（把控制器连到该组织基础设施，没给数字置信度）。CyberScoop 写 China state-backed。
- 是否同一攻击者
- CrowdStrike 明说与 Storm-0940 分开。
数字和口径
| 确认 | 9 家确认后渗透（CrowdStrike 博客） |
|---|---|
| 可能 | 约 140 家，约 70% 确认或中等置信度可能入侵（CyberScoop 引 CrowdStrike） |
| 喷洒 | 至少 12 家遭喷洒和凭据扫描 |
| token | 单次入侵约 14 亿输入 token |
说明
- IoC 里的 BLOODALCHEMY 域名和 hash 不是 ARTEX 本身的指标。
关联 IoC
| 类型 | 值 | 角色 | 验证 |
|---|---|---|---|
| 域名 | nginxmysql[.]com | BLOODALCHEMY C2 domain | 平台判定可疑 |
| 域名 | sqlserver-sqlite[.]com | BLOODALCHEMY C2 domain | 平台判定可疑 |
| 域名 | www[.]ddduuuppp[.]com | BLOODALCHEMY C2 domain | 平台判定恶意 |
| Hash | 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | BLOODALCHEMY payload file (graphics-hook_config.bin) | 平台判定可疑 |
| Hash | 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | BLOODALCHEMY loader DLL (graphics-hook-filter64.dll) | 平台判定恶意 |
| Hash | 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | GameHook binary renamed svchost.exe | 平台未判定 |
| IP | 192[.]121[.]47[.]20 | IP address of www[.]ddduuuppp[.]com | 平台未判定 |
| IP | 45[.]153[.]126[.]223 | IP address of nginxmysql[.]com | 平台未判定 |
| IP | 89[.]46[.]234[.]50 | IP address of sqlserver-sqlite[.]com | 平台未判定 |
| 文件路径 | graphics-hook-filter64.dll | loader DLL | 仅来源报告 |
| 文件路径 | graphics-hook_config.bin | payload file | 仅来源报告 |
来源（4）
- 2026-10-29 厂商 CrowdStrike Counter Adversary Operations VAPOR PANDA Uses AI-Driven ARTEX to Scale a Global Espionage Campaign
- 2026-10-30 媒体 CyberScoop China-backed threat group used agentic AI pentesting tool to compromise 140 sensitive targets in 11 days
- 2026-11-02 媒体 BleepingComputer Chinese hackers use ARTEX AI in automated attacks against 200 orgs
- 2026-11-02 媒体 iTnews ARTEX AI hacking framework spreads to another China-linked group