VAPOR PANDA utilise le framework IA ARTEX pour mener une campagne d'espionnage mondiale

🌐 Contexte

CrowdStrike OverWatch a publié le 29 octobre 2026 une analyse détaillée d’une campagne d’espionnage conduite par VAPOR PANDA, un acteur étatique lié à la Chine. La campagne, débutée le 17 octobre 2026, a ciblé plus de 200 organisations distinctes dans au moins 14 pays sur une fenêtre de 11 jours.

🎯 Ciblage

Les secteurs et entités visés incluent :

• Ministères des affaires étrangères en Amérique latine, Europe, Asie et Moyen-Orient
• Secteurs semiconducteurs, défense et think tanks aux États-Unis
• Opérateurs télécoms aux États-Unis, en Belgique et aux Philippines
• Secteurs pharmaceutique, nucléaire et financier aux États-Unis
• Un ministère de l’intérieur au Moyen-Orient
• Des entités gouvernementales grecques (ministère des affaires étrangères, présidence, premier ministre, défense, justice, finance, renseignement)

🤖 Mécanisme d’attaque : ARTEX + DeepSeek

ARTEX est un framework agentique coordonnant un agent principal avec des agents planificateurs et exécutants via un graphe partagé de faits et objectifs. VAPOR PANDA l’a utilisé principalement avec le LLM DeepSeek (d’origine chinoise) et un second LLM commercial non identifié. Un seul engagement a consommé environ 1,4 milliard de tokens en entrée.

Un opérateur humain émettait des instructions en chinois (marquées 【人类指令】, horodatées en heure standard de Chine) pour diriger les agents à des points de décision critiques.

🔓 Techniques d’intrusion observées

• Organisation pharmaceutique US #1 : chaînage d’une assertion SAML non signée + faille XXE pour interroger l’Instance Metadata Service cloud, obtention d’un rôle administrateur sur des milliers d’instances
• Organisation pharmaceutique US #2 : déploiement de web shells, abus d’un service d’orchestration non authentifié pour accès root, lecture de mots de passe LAPS, abus de délégation contrainte basée sur les ressources
• Entité gouvernementale grecque : utilisation d’un export d’annuaire de 2022 avec des clés d’authentification non renouvelées pour forger un token administrateur et lire des boîtes mail, puis utilisation de configurations VPN récupérées

🛡️ Évasion des défenses

L’opérateur a explicitement instruit les agents de détecter les machines sans capteur CrowdStrike Falcon (猎鹰, argot PRC pour Falcon) via tasklist et les répertoires de fichiers, concentrant l’activité post-exploitation sur les hôtes non protégés.

🦠 Backdoor BLOODALCHEMY

BLOODALCHEMY a été déployé dans un ministère de l’intérieur au Moyen-Orient et un ministère des affaires étrangères en Amérique latine via :

• Un binaire légitime GameHook renommé svchost.exe pour charger
• Une DLL malveillante graphics-hook-filter64.dll qui déchiffre
• Le payload graphics-hook_config.bin

Le chemin interne du projet est D:\ProjectX\Merman_New\.

📊 Évaluation

Cette campagne est distincte de l’activité ARTEX rapportée sous la désignation Storm-0940 par Microsoft. Elle marque la première utilisation observée d’outils d’intrusion IA par VAPOR PANDA et une expansion notable de son ciblage. CrowdStrike évalue avec haute probabilité que les acteurs China-nexus continueront d’adopter des frameworks agentiques comme ARTEX dans les 12 prochains mois.

📄 Nature de l’article

Il s’agit d’une publication de recherche et d’analyse de menace produite par CrowdStrike Intelligence, visant à documenter une campagne active, partager des IOCs et des TTPs MITRE ATT&CK pour permettre la détection et la chasse aux menaces.

🧠 TTPs et IOCs détectés

Acteurs de menace

• VAPOR PANDA (state-sponsored) —
• Storm-0940 (state-sponsored) — orkl.eu · Malpedia

TTP

• T1588.007 — Obtain Capabilities: Artificial Intelligence (Resource Development)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1078 — Valid Accounts (Initial Access)
• T1133 — External Remote Services (Initial Access)
• T1651 — Cloud Administration Command (Execution)
• T1505.003 — Server Software Component: Web Shell (Persistence)
• T1134.001 — Access Token Manipulation: Token Impersonation/Theft (Privilege Escalation)
• T1574.001 — Hijack Execution Flow: DLL Search Order Hijacking (Defense Evasion)
• T1036.005 — Masquerading: Match Legitimate Resource Name or Location (Defense Evasion)
• T1552.005 — Unsecured Credentials: Cloud Instance Metadata API (Credential Access)
• T1555 — Credentials from Password Stores (Credential Access)
• T1606.002 — Forge Web Credentials: SAML Tokens (Credential Access)
• T1606 — Forge Web Credentials (Credential Access)
• T1110.003 — Brute Force: Password Spraying (Credential Access)
• T1518.001 — Software Discovery: Security Software Discovery (Discovery)
• T1114.002 — Email Collection: Remote Email Collection (Collection)
• T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
• T1572 — Protocol Tunneling (Command and Control)

IOC

• IPv4 : 45.153.126.223 — AbuseIPDB · VT · ThreatFox
• IPv4 : 89.46.234.50 — AbuseIPDB · VT · ThreatFox
• IPv4 : 192.121.47.20 — AbuseIPDB · VT · ThreatFox
• Domaines : nginxmysql.com — VT · URLhaus · ThreatFox
• Domaines : sqleserver-sqlite.com — VT · URLhaus · ThreatFox
• Domaines : www.ddduuuppp.com — VT · URLhaus · ThreatFox
• SHA256 : 49fe70419fd19b81ca8d730a6ef7c1ec71b681d60b390761070d42686c7d2068 — VT · MalwareBazaar
• SHA256 : 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 — VT · MalwareBazaar
• SHA256 : 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab — VT · MalwareBazaar
• Fichiers : graphics-hook-filter64.dll
• Fichiers : graphics-hook_config.bin
• Chemins : C:\ProgramData\artx5v\
• Chemins : D:\ProjectX\Merman_New\

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• ARTEX (framework)
• BLOODALCHEMY (backdoor)
• Chisel (tool)
• SoftEther (tool)
• DeepSeek (other)

---

🟢 Indice de vérification factuelle : 95/100 (haute)

• ✅ crowdstrike.com — source reconnue (liste interne) (20pts)
• ✅ 14679 chars — texte complet (fulltext extrait) (15pts)
• ✅ 13 IOCs dont des hashes (15pts)
• ✅ 4/9 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 18 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : VAPOR PANDA, Storm-0940 (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 3fb5a9fb3e2cb1d6… (sha256) → VT (42/76 détections)
• 364251838edfcf5e… (sha256) → VT (3/76 détections)
• nginxmysql.com (domain) → VT (3/92 détections)
• www.ddduuuppp.com (domain) → VT (4/92 détections)

---

🔗 Source originale : https://www.crowdstrike.com/en-us/blog/vapor-panda-uses-artex-to-scale-global-campaign