Am 29. Oktober 2026 veröffentlichte CrowdStrike drei konkrete Fallbeschreibungen und technische Indikatoren zu einer VAPOR PANDA zugeschriebenen Kampagne. Laut dem Unternehmen nutzte die Gruppe ARTEX vorwiegend mit DeepSeek. Die beschriebenen Angriffswege reichen von einer Kombination aus SAML und einer XXE-Schwachstelle bis zu alten Authentifizierungsschlüsseln bei einer griechischen Regierungsstelle. CrowdStrike beschreibt die Fälle und veröffentlicht die Indikatoren.
Den Hintergrund zur Rolle von DeepSeek ordnet der frühere NeoTeo-Bericht zu VAPOR PANDA ein.
CrowdStrike beschreibt drei unterschiedliche Angriffspfade
CrowdStrike zufolge koordinierte ARTEX Planungs- und Arbeitsagenten. Ein menschlicher Operator gab ihnen Anweisungen und griff an entscheidenden Punkten ein.
US-Pharmafall: SAML, XXE und Cloud-Metadaten
In einem Fall bei einem US-amerikanischen Pharmaunternehmen kombinierte ein Agent eine nicht signierte SAML-Assertion mit einer XXE-Schwachstelle. XXE bezeichnet einen Fehler bei der Verarbeitung externer XML-Entitäten. Der Agent nutzte die Schwachstelle, um den Metadatendienst einer Cloud-Instanz abzufragen und eine Rolle mit der Berechtigung für administrative Befehle zu erlangen. Später erhielten die Angreifer laut CrowdStrike auch Zugriff auf ein Unternehmenskonto mit Administratorrechten.
Zweiter US-Pharmafall: Web-Shells und Containerzugriff
Bei einem anderen US-amerikanischen Pharmaunternehmen setzten die Angreifer Web-Shells ein und erlangten über einen nicht authentifizierten Orchestrierungsdienst Root-Zugriff in einer Produktions-Containerumgebung. Anschließend lasen sie LAPS-Passwörter aus und missbrauchten Resource-Based Constrained Delegation, eine ressourcenbasierte Windows-Delegierungsfunktion, um sich als privilegiertes Konto auszugeben.
Griechische Regierungsstelle: alte Schlüssel aus einem Mailserver-Export
In einem Fall bei einer griechischen Regierungsstelle gab ein Operator den Agenten einen älteren Verzeichnisexport des Mailservers. Er enthielt Authentifizierungsschlüssel, die seit dem Export wahrscheinlich nicht erneuert worden waren. Mit diesen Schlüsseln fälschten die Agenten laut CrowdStrike ein Administratortoken und lasen Mailboxen. Danach nutzten sie VPN-Daten, die sie in E-Mails gefunden hatten.
BLOODALCHEMY: Dateien und C2-Indikatoren
CrowdStrike ordnete drei Domain-IP-Paare der Command-and-Control-Infrastruktur (C2) von BLOODALCHEMY zu. Der Bericht beschreibt außerdem eine Dateikette: Eine umbenannte GameHook-Binärdatei namens svchost.exe lud graphics-hook-filter64.dll, die wiederum graphics-hook_config.bin entschlüsselte.
| Indikator | Zugehörige Datei oder Infrastruktur | Von CrowdStrike beschriebene Rolle |
nginxmysql[.]com · 45.153.126[.]223 | BLOODALCHEMY | Domain und zugehörige IP-Adresse der C2-Infrastruktur |
sqlserver-sqlite[.]com · 89.46.234[.]50 | BLOODALCHEMY | Domain und zugehörige IP-Adresse der C2-Infrastruktur |
www[.]ddduuuppp[.]com · 192.121.47[.]20 | BLOODALCHEMY | Domain und zugehörige IP-Adresse der C2-Infrastruktur |
49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | svchost.exe | Hash der umbenannten, legitimen GameHook-Binärdatei |
3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | graphics-hook-filter64.dll | Hash der BLOODALCHEMY-Loader-DLL |
364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | graphics-hook_config.bin | Hash der BLOODALCHEMY-Payload-Datei |
Welche Schutzmaßnahmen CrowdStrike empfiehlt
CrowdStrike empfiehlt, nach einem Verdacht auf Offenlegung Signaturschlüssel, Preauthentifizierungsschlüssel und Dienstzugänge zu erneuern. Das schließt Zugangsdaten in älteren Sicherungen und Verzeichnisexporten ein. Die Fälle mit SAML und Cloud-Berechtigungen stehen außerdem im Zusammenhang mit den Empfehlungen, SAML-Signaturen zu validieren, IMDSv2 vorzuschreiben und die Befugnis zur Ausführung von Cloud-Befehlen auf notwendige Instanzen zu begrenzen.
Für Systeme empfiehlt das Unternehmen, internetseitig erreichbare Appliances zu patchen, nach ARTEX-Markern zu suchen und eine Echtzeitabdeckung durch Endpoint Detection and Response (EDR) zu gewährleisten. Diese soll auch Server erfassen, die nicht als über das Internet erreichbar gelten.
