W raporcie opublikowanym 29 października 2026 r. CrowdStrike opisał trzy konkretne ścieżki włamania przypisane kampanii VAPOR PANDA oraz pliki i infrastrukturę powiązane z BLOODALCHEMY. Według firmy VAPOR PANDA używała w tej kampanii frameworka ARTEX przede wszystkim z modelem DeepSeek.
CrowdStrike podał, że obserwację kampanii rozpoczął 17 października, a aktywność trwała w 11-dniowym oknie obserwacji. Firma wymieniła ponad 200 organizacji jako cele w co najmniej 14 krajach. Aktywność po uzyskaniu dostępu potwierdziła w dziewięciu organizacjach, a co najmniej 12 kolejnych objęto skanowaniem poświadczeń lub atakami password spraying. Wcześniejszy artykuł NeoTeo przedstawia szerszy kontekst kampanii i użycia DeepSeek.
Trzy ścieżki opisane przez CrowdStrike
W jednej z amerykańskich organizacji farmaceutycznych agent połączył niepodpisaną asercję SAML z luką XXE, czyli błędem obsługi zewnętrznych encji XML. Następnie odpytano usługę metadanych instancji chmurowej, co pozwoliło uzyskać rolę uprawniającą do wykonywania poleceń administracyjnych. Później odzyskano konto administratora przedsiębiorstwa.
W innej amerykańskiej organizacji farmaceutycznej agenci wdrożyli web shelle, a następnie uzyskali uprawnienia roota w produkcyjnym środowisku kontenerowym przez usługę orkiestracji bez uwierzytelniania. Odczytali hasła LAPS i wykorzystali delegowanie ograniczone zasobami (resource-based constrained delegation), by podszyć się pod uprzywilejowane konto.
W przypadku greckiej instytucji rządowej operator przekazał agentom stary eksport katalogu serwera pocztowego z kluczami uwierzytelniającymi, które prawdopodobnie nie były rotowane od czasu eksportu. Agenci użyli kluczy do sfałszowania tokenu administratora i odczytania skrzynek pocztowych. Dane VPN znaleźli później w wiadomościach e-mail.
Pliki i wskaźniki BLOODALCHEMY
CrowdStrike podał, że BLOODALCHEMY wdrożono w ministerstwie spraw wewnętrznych na Bliskim Wschodzie oraz w ministerstwie spraw zagranicznych w Ameryce Łacińskiej. W opisanym łańcuchu plików przemianowany plik GameHook svchost.exe ładował graphics-hook-filter64.dll, który odszyfrowywał graphics-hook_config.bin.
| Wskaźnik | Wartość | Powiązanie opisane przez CrowdStrike |
| Domena C2 | nginxmysql[.]com | Powiązana z adresem IP 45.153.126[.]223 |
| Domena C2 | sqlserver-sqlite[.]com | Powiązana z adresem IP 89.46.234[.]50 |
| Domena C2 | www[.]ddduuuppp[.]com | Powiązana z adresem IP 192.121.47[.]20 |
| Hash pliku | 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | Plik GameHook przemianowany na svchost.exe |
| Hash pliku | 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | Biblioteka ładująca graphics-hook-filter64.dll |
| Hash pliku | 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | Plik z ładunkiem graphics-hook_config.bin |
Zalecenia obronne powiązane z opisanymi przypadkami
CrowdStrike zaleca rotację kluczy podpisujących i uwierzytelniających oraz danych dostępowych usług po podejrzeniu ich ujawnienia, także gdy znajdują się w kopiach zapasowych lub eksportach katalogów. Przy ścieżce wykorzystującej SAML firma wskazuje na wymuszanie walidacji podpisów, a w przypadku dostępu do metadanych instancji chmurowych na wymaganie IMDSv2 i ograniczenie uprawnień do wykonywania poleceń administracyjnych do niezbędnych instancji.
Pozostałe zalecenia CrowdStrike obejmują łatanie urządzeń wystawionych do internetu, wyszukiwanie śladów ARTEX oraz utrzymywanie bieżącego wykrywania i reagowania na zagrożenia na punktach końcowych, także na serwerach uznawanych za niedostępne z internetu.
