Hackers Implantam Backdoor no VMware Tools para Acesso de Longo Prazo
Um grupo ligado à Bielorrússia manteve acesso persistente a uma rede de saúde russa por quase dois anos usando um backdoor furtivo no VMware. A campanha destaca técnicas avançadas de evasão direcionadas à infraestrutura corporativa.
TL;DR
- Partisan Zmiy, um grupo de hacktivistas ligado à Bielorrússia, infiltrou uma organização de saúde russa por quase 2 anos.
- Os atacantes esconderam um backdoor personalizado chamado Vasilek dentro do VMware Tools para evitar detecção.
- O grupo utilizou o backdoor para espionagem de longo prazo e acesso a dados.
- Este ataque demonstra como softwares corporativos confiáveis podem ser armados para persistência.
- As organizações devem auditar ferramentas de terceiros e monitorar atividades incomuns relacionadas ao VMware.
Em uma intrusão cibernética sofisticada descoberta pela empresa russa de segurança cibernética Solar, um grupo de hacktivistas alinhado com a Bielorrússia, conhecido como Partisan Zmiy, manteve acesso à rede de uma organização de saúde russa por quase dois anos. O grupo utilizou um backdoor personalizado chamado Vasilek, habilmente embutido dentro do VMware Tools — uma abordagem projetada para evitar o monitoramento tradicional de segurança.
O tempo prolongado de permanência e o uso de software corporativo legítimo destacam as táticas em evolução de atores de ameaça que buscam estabelecer pontos de apoio persistentes e difíceis de detectar em redes de alto valor. Este incidente reforça a importância de examinar cuidadosamente softwares de terceiros e entender como os atacantes abusam de plataformas confiáveis.
TTPs e Ciclo de Vida do Ataque
- Partisan Zmiy explorou o VMware Tools, um utilitário de virtualização amplamente usado, para implantar o backdoor Vasilek.
- O backdoor permitiu comunicação encoberta de comando e controle e exfiltração de dados por quase 24 meses.
- O método inicial de comprometimento ainda não está claro, mas o grupo demonstrou profundo conhecimento de ambientes corporativos.
- O VMware Tools foi provavelmente escolhido devido ao seu acesso privilegiado ao sistema e baixo perfil de suspeita.
Implicações Defensivas
- As organizações devem implementar verificação rigorosa e monitoramento de softwares de terceiros, especialmente aqueles com privilégios no nível do sistema.
- Análise comportamental e detecção de anomalias podem ajudar a identificar o uso malicioso de ferramentas legítimas como os utilitários VMware.
- Auditorias regulares de ambientes de virtualização e conjuntos de ferramentas associados são fundamentais para detectar ameaças incorporadas.
- Soluções de detecção e resposta em endpoints (EDR) devem ser configuradas para sinalizar modificações suspeitas nos processos do VMware.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.