Nel rapporto pubblicato il 29 ottobre 2026, CrowdStrike ha attribuito a VAPOR PANDA una campagna in cui gli operatori usavano ARTEX soprattutto con DeepSeek. L’azienda ha descritto tre intrusioni e pubblicato indicatori di BLOODALCHEMY. CrowdStrike ha detto di aver iniziato a osservare l’attività il 17 ottobre, seguendola per una finestra di 11 giorni. Il rapporto di CrowdStrike riporta i dettagli dei casi e gli indicatori.
CrowdStrike ha riferito che la campagna prese di mira oltre 200 organizzazioni in almeno 14 Paesi. La sua divisione Intelligence ha confermato attività successive all’accesso iniziale in nove organizzazioni e ha rilevato tentativi di password spraying o scansione delle credenziali contro almeno altre 12. Secondo il rapporto, un operatore umano impartiva istruzioni in cinese e interveniva nei passaggi decisionali.
Le osservazioni di GTIG e Mandiant su altri usi di ARTEX erano al centro di un precedente approfondimento di NeoTeo.
Tre intrusioni, tre percorsi diversi
In un’intrusione ai danni di un’azienda farmaceutica statunitense, un agente ha combinato un’asserzione SAML non firmata con una vulnerabilità XXE, che sfrutta la gestione di entità esterne nei documenti XML. La sequenza ha permesso di interrogare il servizio di metadati di un’istanza cloud e ottenere un ruolo con capacità di eseguire comandi amministrativi. CrowdStrike ha riferito che in seguito è stato recuperato anche un account amministratore aziendale.
Un secondo caso, in un’altra azienda farmaceutica statunitense, ha coinvolto web shell e un servizio di orchestrazione non autenticato, attraverso il quale gli agenti hanno ottenuto accesso root a un ambiente di container di produzione. Hanno poi letto password LAPS e sfruttato la delega vincolata basata sulle risorse per impersonare un account privilegiato.
Per un ente governativo greco, CrowdStrike ha descritto l’uso di una vecchia esportazione della directory di un server di posta, fornita da un operatore e contenente chiavi di autenticazione che probabilmente non erano state ruotate dopo l’esportazione. Gli agenti le hanno usate per falsificare un token amministratore e leggere le caselle di posta; hanno poi recuperato dalle email i dettagli di accesso alla VPN.
File e infrastruttura di BLOODALCHEMY
CrowdStrike ha riferito che BLOODALCHEMY è stato distribuito presso un ministero dell’Interno in Medio Oriente e un ministero degli Esteri in America Latina. Nel rapporto, l’azienda descrive una catena di file in cui un binario legittimo di GameHook, rinominato svchost.exe, caricava graphics-hook-filter64.dll; la DLL decrittava il payload graphics-hook_config.bin.
La tabella riporta i domini defanged dei server di comando e controllo (C2), i relativi indirizzi IP e gli hash associati ai tre file.
| Tipo | Valore pubblicato | Relazione descritta da CrowdStrike |
| C2 | nginxmysql[.]com — 45.153.126[.]223 | Dominio e indirizzo IP associati a BLOODALCHEMY |
| C2 | sqlserver-sqlite[.]com — 89.46.234[.]50 | Dominio e indirizzo IP associati a BLOODALCHEMY |
| C2 | www[.]ddduuuppp[.]com — 192.121.47[.]20 | Dominio e indirizzo IP associati a BLOODALCHEMY |
| Hash | 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | Binario GameHook rinominato svchost.exe |
| Hash | 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | DLL graphics-hook-filter64.dll |
| Hash | 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | Payload graphics-hook_config.bin |
Le misure difensive indicate da CrowdStrike
Per affrontare i percorsi descritti, CrowdStrike ha raccomandato di ruotare chiavi di firma, chiavi di preautenticazione e credenziali di servizio dopo una sospetta esposizione, includendo quelle conservate in backup storici ed esportazioni di directory. Ha inoltre indicato la convalida delle firme SAML, l’obbligo di IMDSv2 e la limitazione dei permessi per eseguire comandi cloud alle sole istanze che ne hanno bisogno.
Tra le altre misure elencate figurano l’applicazione di patch ai dispositivi esposti a Internet, la ricerca di indicatori ARTEX e una copertura EDR in tempo reale anche sui server non considerati accessibili da Internet.
