Em relatório publicado em 29 de outubro de 2026, a CrowdStrike descreveu três caminhos de intrusão associados à campanha que atribuiu à VAPOR PANDA e publicou indicadores do backdoor BLOODALCHEMY, incluindo domínios, endereços IP, arquivos e hashes. O relatório da empresa detalha casos em duas organizações farmacêuticas dos Estados Unidos e em uma entidade governamental grega.
A CrowdStrike diz que VAPOR PANDA usou o framework ARTEX principalmente com o modelo de linguagem DeepSeek e um segundo modelo comercial. Transcrições recuperadas pela empresa registraram um operador humano instruindo e direcionando os agentes em pontos de decisão. Na janela de 11 dias observada a partir de 17 de outubro, a CrowdStrike contou mais de 200 organizações-alvo em pelo menos 14 países. A equipe CrowdStrike Intelligence confirmou atividade pós-exploração em nove organizações; pelo menos outras 12 enfrentaram varredura de credenciais ou pulverização de senhas.
Para o panorama da atribuição e do uso relatado de DeepSeek, veja a cobertura anterior da NeoTeo. A NeoTeo também abordou o uso de ARTEX em investigações relatadas pelo GTIG e pela Mandiant em outra reportagem.
Três caminhos de intrusão descritos pela CrowdStrike
Asserção SAML e falha XXE em uma farmacêutica dos EUA
Em uma organização farmacêutica dos Estados Unidos, a CrowdStrike relata que um agente combinou uma asserção SAML sem assinatura, ligada à autenticação, com uma falha XXE, que explora o processamento de entidades externas em XML. A sequência permitiu consultar o serviço de metadados da instância em nuvem e obter um papel com capacidade para emitir comandos administrativos a milhares de instâncias. Depois, o agente recuperou uma conta de administrador corporativo.
Contêineres, senhas LAPS e uma conta privilegiada
Em outra organização farmacêutica dos Estados Unidos, o agente instalou web shells e explorou um serviço de orquestração sem autenticação para obter acesso root a um ambiente de contêineres de produção. Em seguida, leu senhas gerenciadas pelo LAPS, solução de senhas de administrador local, e usou delegação restrita baseada em recursos para se passar por uma conta privilegiada.
Chaves antigas e acesso por VPN na Grécia
Para uma entidade governamental grega, a CrowdStrike descreve um operador que forneceu ao agente uma exportação de 2022 do diretório do servidor de e-mail. O arquivo continha chaves de autenticação que provavelmente não tinham sido trocadas desde a exportação. O agente usou essas chaves para forjar um token de administrador e ler caixas de e-mail. Depois, recorreu a configurações de VPN recuperadas de mensagens enviadas por um usuário e a uma chave de cliente VPN que o operador disse ter vindo de um vazamento de e-mail em maio de 2024 para alcançar a rede interna.
BLOODALCHEMY: arquivos e indicadores publicados
A CrowdStrike relata que VAPOR PANDA implantou o backdoor BLOODALCHEMY em um ministério do Interior do Oriente Médio e em um ministério das Relações Exteriores da América Latina. O grupo usou um binário legítimo do GameHook renomeado como svchost.exe para carregar a DLL maliciosa graphics-hook-filter64.dll, que descriptografou o arquivo de carga útil graphics-hook_config.bin.
A empresa também listou três domínios de comando e controle (C2), os endereços IP associados e os hashes dos arquivos. Os domínios aparecem desativados, com [.] no lugar do ponto.
| Indicador ou arquivo | Valor publicado | Relação descrita |
| Domínio C2 | nginxmysql[.]com | Domínio associado ao BLOODALCHEMY |
| IP | 45.153.126[.]223 | Endereço associado a nginxmysql[.]com |
| Domínio C2 | sqlserver-sqlite[.]com | Domínio associado ao BLOODALCHEMY |
| IP | 89.46.234[.]50 | Endereço associado a sqlserver-sqlite[.]com |
| Domínio C2 | www[.]ddduuuppp[.]com | Domínio associado ao BLOODALCHEMY |
| IP | 192.121.47[.]20 | Endereço associado a www[.]ddduuuppp[.]com |
Binário do GameHook renomeado como svchost.exe | 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 | Binário usado para carregar a DLL |
DLL graphics-hook-filter64.dll | 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 | Carregador do BLOODALCHEMY |
Arquivo graphics-hook_config.bin | 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab | Arquivo de carga útil do BLOODALCHEMY |
Como as recomendações se relacionam aos casos
A CrowdStrike recomenda trocar chaves de assinatura, chaves de pré-autenticação e credenciais de serviço quando houver suspeita de exposição, inclusive as guardadas em cópias antigas e exportações de diretório. A orientação se conecta ao caso grego, em que chaves de autenticação antigas foram usadas para forjar um token administrativo.
Para os casos que envolveram autenticação e infraestrutura em nuvem, a empresa recomenda validar assinaturas SAML, exigir IMDSv2 e limitar permissões de execução de comandos na nuvem às instâncias que precisam delas. Também recomenda corrigir sistemas expostos à internet, buscar marcadores do ARTEX e manter detecção e resposta em endpoints, incluindo servidores considerados inacessíveis pela internet pública.
