Los hackers implantan una puerta trasera en VMware Tools para obtener acceso prolongado
Un grupo vinculado a Bielorrusia mantuvo acceso persistente a una red sanitaria rusa durante casi dos años utilizando una puerta trasera sigilosa en VMware. La campaña revela técnicas avanzadas de evasión dirigidas a infraestructuras empresariales.
Resumen
- Partisan Zmiy, un grupo de hacktivistas afín a Bielorrusia, infiltró una organización sanitaria rusa durante casi 2 años.
- Los atacantes ocultaron una puerta trasera personalizada llamada Vasilek dentro de VMware Tools para evitar ser detectados.
- El grupo utilizó la puerta trasera para espionaje prolongado y acceso a datos.
- Este ataque demuestra cómo se puede weaponizar el software empresarial confiable para lograr persistencia.
- Las organizaciones deberían auditar herramientas de terceros y vigilar actividades inusuales relacionadas con VMware.
En una sofisticada intrusión cibernética descubierta por la empresa rusa de ciberseguridad Solar, un grupo de hacktivistas afines a Bielorrusia conocido como Partisan Zmiy mantuvo acceso a la red de una organización sanitaria rusa durante casi dos años. El grupo utilizó una puerta trasera personalizada llamada Vasilek, inteligentemente incrustada dentro de VMware Tools, una estrategia diseñada para evadir el monitoreo tradicional de seguridad.
El largo tiempo de permanencia y el uso de software empresarial legítimo ponen de relieve las tácticas en evolución de los actores de amenazas que buscan establecer puntos de apoyo persistentes y difíciles de detectar en redes de alto valor. Este incidente subraya la importancia de examinar cuidadosamente el software de terceros y comprender cómo los atacantes abusan de plataformas confiables.
TTPs y ciclo de vida del ataque
- Partisan Zmiy explotó VMware Tools, una utilidad de virtualización ampliamente utilizada, para desplegar la puerta trasera Vasilek.
- La puerta trasera permitió comunicaciones encubiertas de comando y control, así como la extracción de datos durante casi 24 meses.
- El método inicial de compromiso sigue sin estar claro, pero el grupo demostró un profundo conocimiento de entornos empresariales.
- Se eligió VMware Tools probablemente debido a su acceso privilegiado al sistema y bajo perfil de sospecha.
Implicaciones defensivas
- Las organizaciones deben implementar una rigurosa verificación y monitoreo del software de terceros, especialmente aquellos con privilegios a nivel de sistema.
- Los análisis de comportamiento y la detección de anomalías pueden ayudar a identificar el uso malicioso de herramientas legítimas como las utilidades de VMware.
- Es fundamental auditar regularmente los entornos de virtualización y sus conjuntos de herramientas asociados para detectar amenazas integradas.
- Las soluciones de detección y respuesta en endpoints (EDR) deben configurarse para señalar modificaciones sospechosas en procesos de VMware.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.