El 29 de octubre de 2026, CrowdStrike publicó tres casos de intrusión que atribuye a VAPOR PANDA: dos en organizaciones farmacéuticas de Estados Unidos y uno en una entidad gubernamental griega. El informe sobre la campaña de VAPOR PANDA y ARTEX también detalla dominios de mando y control, direcciones IP y hashes relacionados con BLOODALCHEMY.
NeoTeo ya había cubierto la campaña atribuida a VAPOR PANDA y, en otro artículo sobre ARTEX, la actividad de otros grupos. Este seguimiento se centra en las rutas de intrusión y los indicadores que CrowdStrike detalló.
CrowdStrike dice que la actividad comenzó el 17 de octubre de 2026 y se observó durante una ventana de 11 días. La compañía atribuye a VAPOR PANDA más de 200 organizaciones objetivo en al menos 14 países. CrowdStrike Intelligence comunicó actividad posterior a la intrusión en nueve organizaciones y ataques de rastreo de credenciales o password spraying contra al menos otras 12.
Según CrowdStrike, ARTEX se ejecutó principalmente con DeepSeek bajo la dirección de un operador humano. Las instrucciones recuperadas estaban en chino y el operador intervenía en puntos de decisión.
Tres rutas de intrusión descritas por CrowdStrike
En una organización farmacéutica estadounidense, un agente encadenó una aserción SAML sin firmar con una vulnerabilidad XXE, un fallo en el procesamiento de XML. CrowdStrike dice que esa combinación se utilizó para consultar el servicio de metadatos de una instancia en la nube y obtener un rol con capacidad para ejecutar comandos administrativos. Después, el agente recuperó una cuenta de administrador de la empresa.
En otra organización farmacéutica de Estados Unidos, los agentes desplegaron web shells, herramientas que permiten controlar un servidor a través de la web. Según CrowdStrike, obtuvieron acceso de administrador raíz a un entorno de contenedores de producción mediante un servicio de orquestación sin autenticación. Luego leyeron contraseñas gestionadas con LAPS y abusaron de la delegación restringida basada en recursos para suplantar una cuenta privilegiada.
En una entidad gubernamental griega, un operador proporcionó una exportación antigua del directorio de un servidor de correo con claves de autenticación que, según CrowdStrike, probablemente no se habían rotado desde la exportación. Los agentes las utilizaron para falsificar un token de administrador y acceder a buzones. Después aprovecharon datos de VPN encontrados en el correo.
Dominios, direcciones IP y archivos de BLOODALCHEMY
CrowdStrike afirma que BLOODALCHEMY se desplegó en un ministerio del Interior de Oriente Medio y en un ministerio de Exteriores de América Latina. La tabla reúne los indicadores de mando y control (C2) y los hashes de los archivos que la compañía asocia con el programa malicioso.
| Tipo | Valor publicado | Relación descrita por CrowdStrike |
| Dominio e IP C2 | nginxmysql[.]com · 45.153.126[.]223 | Dominio y dirección IP asociados a infraestructura de BLOODALCHEMY |
| Dominio e IP C2 | sqlserver-sqlite[.]com · 89.46.234[.]50 | Dominio y dirección IP asociados a infraestructura de BLOODALCHEMY |
| Dominio e IP C2 | www[.]ddduuuppp[.]com · 192.121.47[.]20 | Dominio y dirección IP asociados a infraestructura de BLOODALCHEMY |
| Archivo y hash | svchost.exe · 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | Binario legítimo de GameHook renombrado como svchost.exe |
| Archivo y hash | graphics-hook-filter64.dll · 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | DLL cargadora de BLOODALCHEMY; descifró el archivo de carga útil |
| Archivo y hash | graphics-hook_config.bin · 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | Archivo de carga útil de BLOODALCHEMY |
CrowdStrike describe esta secuencia de archivos: el binario de GameHook renombrado como svchost.exe cargó graphics-hook-filter64.dll, que descifró graphics-hook_config.bin.
Las medidas defensivas que recomienda CrowdStrike
Para reducir la exposición de credenciales, CrowdStrike recomienda rotar las claves de firma, las claves de preautenticación y las credenciales de servicio cuando se sospeche que han quedado expuestas. La recomendación incluye las copias de seguridad históricas y las exportaciones de directorios. También aconseja validar las firmas SAML.
Para los entornos en la nube, CrowdStrike recomienda exigir IMDSv2, la versión 2 del servicio de metadatos de instancias, y limitar los permisos para ejecutar comandos a las instancias que los necesiten. Su lista también incluye parchear sistemas expuestos a Internet, buscar indicios de ARTEX y mantener detección y respuesta de endpoints en tiempo real, incluso en servidores que no se consideran accesibles desde Internet.
