Un grupo de ciberdelincuentes originario de China, identificado como UNC3886, está llevando a cabo ataques activos utilizando una vulnerabilidad Zero-day en los hosts de VMware ESXi. El objetivo principal de estas operaciones es infiltrar puertas traseras en sistemas operativos Windows y Linux.
Vulnerabilidad afectada
La vulnerabilidad afecta la autenticación en VMware Tools, identificada como CVE-2023-20867, con una puntuación CVSS de 3.9. Esta brecha permite la ejecución de comandos con privilegios en sistemas operativos Windows, Linux y PhotonOS (vCenter), sin necesidad de credenciales en los sistemas operativos invitados.
Metodología del grupo
La explotación se logra desde un host ESXi comprometido, sin registro previo en los sistemas operativos invitados. El grupo UNC3886 fue detectado por la empresa de ciberseguridad Mandiant a finales de 2022.
Técnicas utilizadas
Su metodología incluye la infección de servidores VMware ESXi y vCenter mediante puertas traseras denominadas VIRTUALPITA y VIRTUALPIE. Se ha observado que el grupo recopila credenciales de servidores vCenter para ejecutar comandos y transferir archivos entre las máquinas virtuales invitadas desde un host ESXi comprometido.
Características destacadas
Una característica destacada es su uso de los sockets de la Interfaz de Comunicación de Máquina Virtual (VMCI), lo que le permite establecer un canal encubierto entre el host ESXi y las máquinas virtuales invitadas, asegurando una persistencia continua.
Conexión con otras vulnerabilidades
A principios de marzo, este mismo grupo estuvo vinculado a la explotación de una vulnerabilidad en sistemas Fortinet FortiOS.