CrowdStrike meldde dat VAPOR PANDA ARTEX vooral met DeepSeek gebruikte. In een rapport van 29 oktober 2026 beschreef het bedrijf drie concrete inbraakroutes en publiceerde het bestanden en C2-indicatoren voor BLOODALCHEMY, een achterdeur die in de campagne werd ingezet. CrowdStrikes rapport dateert de waargenomen activiteit vanaf 17 oktober.
Het eerdere NeoTeo-overzicht over VAPOR PANDA en DeepSeek behandelde de campagne op hoofdlijnen; de casussen en indicatoren geven de technische details.
CrowdStrike zegt ARTEX-activiteit gedurende een observatieperiode van elf dagen te hebben gezien, gericht op meer dan 200 organisaties in ten minste 14 landen. CrowdStrike Intelligence bevestigde post-exploitatie bij negen organisaties. Bij minstens twaalf andere organisaties zag het bedrijf wachtwoordaanvallen of het scannen van inloggegevens.
Drie casussen, drie verschillende routes
SAML, een XXE-fout en cloudrechten
Bij een Amerikaanse farmaceutische organisatie combineerde een ARTEX-agent volgens CrowdStrike een niet-ondertekende SAML-assertie met een XXE-kwetsbaarheid. Een SAML-assertie is een verklaring over iemands identiteit of inlogstatus; XXE is een fout in de verwerking van XML-entiteiten. De agent gebruikte de combinatie om de metadata-service van een cloudinstantie te raadplegen en een rol te verkrijgen waarmee beheercommando’s konden worden uitgevoerd. Later bemachtigde de agent een account met rechten van bedrijfsbeheerder.
Webshells en toegang tot een containeromgeving
In een tweede Amerikaanse farmaceutische organisatie plaatsten agenten webshells. Via een niet-geauthenticeerde orkestratiedienst kregen zij roottoegang in een productieomgeving met containers. Daarna lazen zij LAPS-wachtwoorden voor lokale beheerdersaccounts en misbruikten zij resource-based constrained delegation, een methode voor het delegeren van authenticatie, om zich voor te doen als een bevoorrechte account.
Oude authenticatiesleutels bij een Griekse overheidsinstantie
Bij een Griekse overheidsinstantie leverde een operator de agenten een oude directory-export van een mailserver met authenticatiesleutels. CrowdStrike meldde dat die sleutels waarschijnlijk sinds het maken van de export niet waren gerouleerd. De agenten gebruikten ze om een beheertoken te vervalsen en mailboxen te lezen. Daarna haalden ze VPN-gegevens uit e-mail.
BLOODALCHEMY-bestanden en C2-indicatoren
CrowdStrike meldde dat BLOODALCHEMY werd ingezet bij een ministerie van Binnenlandse Zaken in het Midden-Oosten en een ministerie van Buitenlandse Zaken in Latijns-Amerika. Het rapport beschrijft ook een bestandsketen: een legitiem GameHook-bestand werd hernoemd tot svchost.exe, dat graphics-hook-filter64.dll laadde. Die loader ontsleutelde vervolgens graphics-hook_config.bin.
De rapportage noemt drie C2-domeinen met bijbehorende IP-adressen en hashes voor de genoemde bestanden. De punten tussen blokhaken zijn de gepubliceerde, onschadelijk gemaakte schrijfwijze van de domeinen en adressen.
| Type | Gepubliceerde waarde | Gerapporteerde rol |
| C2-domein en IP-adres | nginxmysql[.]com en 45.153.126[.]223 | BLOODALCHEMY-infrastructuur |
| C2-domein en IP-adres | sqlserver-sqlite[.]com en 89.46.234[.]50 | BLOODALCHEMY-infrastructuur |
| C2-domein en IP-adres | www[.]ddduuuppp[.]com en 192.121.47[.]20 | BLOODALCHEMY-infrastructuur |
| Bestandshash | 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | GameHook-bestand, hernoemd tot svchost.exe |
| Bestandshash | 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | Loader-DLL graphics-hook-filter64.dll |
| Bestandshash | 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | Payloadbestand graphics-hook_config.bin |
Welke verdediging CrowdStrike aan de casussen koppelt
De beschreven zaken raken aan sleutels, authenticatie en cloudrechten. CrowdStrike adviseert na vermoedelijke blootstelling onder meer ondertekeningssleutels, pre-authenticatiesleutels en servicegegevens te rouleren, ook als die in oude back-ups of directory-exports staan. Voor de SAML-route noemt het bedrijf het afdwingen van handtekeningvalidatie; voor cloudinstanties adviseert het IMDSv2 te vereisen en rechten voor het uitvoeren van beheercommando’s te beperken tot de instanties die ze nodig hebben.
CrowdStrike adviseert daarnaast internetgerichte systemen te patchen, op ARTEX-sporen te zoeken en realtime endpointdetectie en -respons ook op servers te gebruiken die niet als internettoegankelijk worden beschouwd.
