Ayer, VMware lanzó un parche para una vulnerabilidad Zero-Day en su plataforma ESXi, que fue explotada por un grupo de hackers patrocinado por China. Esta brecha permite a los atacantes instalar puertas traseras en máquinas virtuales Windows y Linux, facilitando el robo de datos.
Detalles técnicos de la vulnerabilidad
El grupo de ciberespionaje, identificado como UNC3886 por Mandiant, abusa de una falla en VMware Tools denominada CVE-2023-20867. Esta vulnerabilidad se debe a una omisión de autenticación y permite la implementación de puertas traseras llamadas VirtualPita y VirtualPie en máquinas virtuales comprometidas, otorgando privilegios de root.
Objetivos del grupo
UNC3886 se centra en organizaciones pertenecientes a los sectores de defensa, gobierno, telecomunicaciones y tecnología en Estados Unidos y regiones APJ. Sus objetivos son principalmente vulnerabilidades de día cero en firewalls y plataformas de virtualización que carecen de soluciones EDR.
Metodología del ataque
Los atacantes instalan el malware mediante paquetes maliciosos de instalación de vSphere (VIB), diseñados para ayudar a los administradores en la creación y mantenimiento de imágenes ESXi. Durante la investigación, Mandiant detectó una tercera cepa de malware denominada VirtualGate que actúa como un dropper, desofuscando las cargas útiles de una DLL en memoria.
Impacto del ataque
Mandiant destacó que el ataque permite la persistencia en un host ESXi si se obtiene acceso inicial a cualquier máquina invitada. El canal de comunicación abierto entre el invitado y el host facilita la recuperación del acceso, lo cual refleja una profunda comprensión técnica por parte del grupo sobre ESXi, vCenter y la plataforma de virtualización de VMware.
Historial previo del grupo
A principios de este año, Mandiant reveló que UNC3886 también abusó de una vulnerabilidad Zero-Day (CVE-2022-41328) en dispositivos FortiGate para instalar puertas traseras Castletap y Thincrust. El grupo utilizó el acceso obtenido para moverse lateralmente a través de las redes de las víctimas, y posteriormente implementó puertas traseras en máquinas ESXi y vCenter mediante VirtualPita y VirtualPie.
Capacidades del ataque
Mandiant señaló que el uso de una amplia gama de nuevas familias de malware y herramientas maliciosas diseñadas específicamente para las plataformas objetivo sugiere capacidades de investigación sustanciales. El ataque está altamente dirigido, con indicios de objetivos gubernamentales o relacionados con el gobierno.
Conclusión
Mandiant destacó que este es un ejemplo de espionaje chino que ha estado ocurriendo durante años. La artesanía del ataque es muy inteligente y difícil de detectar, lo cual sugiere que hay otras víctimas que aún no son conscientes de la amenaza.