Dans son rapport publié le 29 octobre 2026, CrowdStrike décrit trois voies d’intrusion dans une campagne attribuée à VAPOR PANDA : deux cas dans des organisations pharmaceutiques américaines et un dans une entité publique grecque. L’entreprise publie aussi des indicateurs et des détails sur les fichiers de BLOODALCHEMY. Elle affirme que VAPOR PANDA a utilisé DeepSeek comme modèle principal avec ARTEX. CrowdStrike situe le début de l’activité au 17 octobre 2026 (rapport de CrowdStrike).
La campagne visait plus de 200 organisations dans au moins 14 pays. CrowdStrike dit avoir confirmé une activité après intrusion dans neuf organisations ; au moins 12 autres ont fait l’objet de balayages d’identifiants ou de tentatives de pulvérisation de mots de passe. Ce suivi prolonge notre précédent article sur ARTEX et la campagne attribuée à VAPOR PANDA.
Trois voies d’intrusion décrites par CrowdStrike
Dans le premier cas pharmaceutique aux États-Unis, un agent a associé une assertion SAML non signée à une faille XXE, qui exploite le traitement d’entités externes en XML. D’après CrowdStrike, cette combinaison a permis d’interroger le service de métadonnées d’une instance cloud et d’obtenir un rôle autorisant l’exécution de commandes d’administration. L’agent a ensuite récupéré un compte administrateur de l’entreprise.
Dans une autre organisation pharmaceutique américaine, les agents ont déployé des web shells, des outils permettant de contrôler un serveur à distance. Ils ont obtenu des privilèges root dans un environnement de conteneurs de production par l’intermédiaire d’un service d’orchestration sans authentification, puis lu des mots de passe administrateur gérés par LAPS. CrowdStrike rapporte qu’ils ont également exploité la délégation contrainte fondée sur les ressources pour usurper un compte privilégié.
Pour une entité publique grecque, l’opérateur a fourni aux agents une ancienne exportation de l’annuaire d’un serveur de messagerie contenant des clés d’authentification. CrowdStrike estime que ces clés n’avaient probablement pas été renouvelées depuis l’export. Les agents s’en sont servis pour forger un jeton administrateur et consulter des boîtes mail ; ils ont ensuite récupéré des informations VPN dans des courriels.
BLOODALCHEMY : fichiers et indicateurs C2
CrowdStrike indique que BLOODALCHEMY a été déployé dans un ministère de l’Intérieur au Moyen-Orient et un ministère des Affaires étrangères en Amérique latine. Le rapport associe trois domaines de commande et de contrôle (C2) à des adresses IP, et publie les empreintes de trois fichiers liés à la chaîne d’exécution décrite.
| Élément | Valeur publiée | Rôle ou relation décrite |
| Domaine C2 et adresse IP | nginxmysql[.]com / 45.153.126[.]223 | Infrastructure C2 de BLOODALCHEMY |
| Domaine C2 et adresse IP | sqlserver-sqlite[.]com / 89.46.234[.]50 | Infrastructure C2 de BLOODALCHEMY |
| Domaine C2 et adresse IP | www[.]ddduuuppp[.]com / 192.121.47[.]20 | Infrastructure C2 de BLOODALCHEMY |
Binaire GameHook renommé svchost.exe | 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | Binaire légitime renommé, selon CrowdStrike |
Bibliothèque graphics-hook-filter64.dll | 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | Chargeur de BLOODALCHEMY |
Fichier graphics-hook_config.bin | 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | Charge utile déchiffrée par le chargeur |
Selon la chaîne décrite par CrowdStrike, le binaire GameHook renommé svchost.exe chargeait graphics-hook-filter64.dll, qui déchiffrait ensuite graphics-hook_config.bin.
Les mesures de défense recommandées
Les cas rapportés relient les identifiants anciens, l’authentification SAML, les rôles cloud et les systèmes accessibles à des chemins d’intrusion concrets. CrowdStrike recommande de renouveler les clés de signature, les clés de préauthentification et les identifiants de service après une exposition suspectée, y compris ceux présents dans d’anciennes sauvegardes et des exports d’annuaire. L’entreprise préconise aussi de valider les signatures SAML, d’exiger IMDSv2 et de limiter les droits d’exécution de commandes cloud aux instances qui en ont besoin.
Ses autres recommandations portent sur l’application de correctifs aux équipements exposés sur Internet, la recherche de traces d’ARTEX et une couverture de détection et réponse sur les terminaux en temps réel, y compris sur les serveurs considérés comme non accessibles depuis Internet.
