Китайскоязычные Хакеры использовали взломанное устройство SonicWall VPN для загрузки зловредного кода для эксплуатации уязвимостей VMware ESXi, который был разработан более чем за 1 до того, как целевые уязвимости стали общеизвестными.
В атаках, проанализированных компанией Huntress, занимающейся управлением безопасностью, хакеры использовали сложный метод ухода из виртуальной машины (VM), который эксплуатировал 3 уязвимости VMware, раскрытые в марте 2025 года как уязвимости нулевого дня.
Из трех ошибок только одна получила оценку критической серьезности:
- CVE-2025-22226 (оценка серьезности 7,1): чтение за пределами границ в HGFS, которое использует утечку памяти из процесса VMX
- CVE-2025-22224 (оценка серьезности 9,3): уязвимость TOCTOU в интерфейсе связи виртуальных машин (VMCI), приводящая к записи за пределами границ, что позволяет выполнять код как процесс VMX
- CVE-2025-22225 (оценка серьезности 8,2): Уязвимость произвольной записи в ESXi, позволяющая выйти из песочницы VMX в ядро
На момент раскрытия информации Broadcom предупредила, что проблемы безопасности могут быть связаны между собой злоумышленниками с правами администратора, чтобы выйти из виртуальной машины и получить доступ к базовому гипервизору.
Однако новый отчет Huntress содержит улики, указывающие на то, что уязвимости, возможно, были связаны между собой в эксплойте по крайней мере с февраля 2024 года.
Исследователи обнаружили в PDB-путях бинарных файлов эксплойта папку с именем «2024_02_19», что позволяет предположить, что пакет был разработан как потенциальный эксплойт нулевого дня.
C:\Users\test\Desktop\2024_02_19\全版本逃逸--交付\report\ESXI_8.0u3\
Кроме того, из названия папки, которое переводится как «Все/Полная версия доставки», можно сделать вывод, что предполагаемой целью был ESXi 8.0 Update 3.
Huntress считает, что первоначальный доступ, вероятно, был получен через взломанный VPN SonicWall. Злоумышленник использовал взломанную учетную запись администратора домена, чтобы перейти через RDP к контроллерам домена, подготовить данные для экстракции и запустить цепочку эксплойтов, которая выходит из гостевой виртуальной машины в гипервизор ESXi.
Набор инструментов для эксплойта включал следующие компоненты:
- MAESTRO (exploit.exe) — координирует выход из виртуальной машины, отключая устройства VMware VMCI, загружая неподписанный драйвер эксплойта через KDU, отслеживая успех эксплойта и восстанавливая драйверы после этого.
- MyDriver.sys — неподписанный драйвер ядра, который выполняет выход из виртуальной машины, включая обнаружение версии ESXi, утечку и повреждение памяти VMX, выход из песочницы и развертывание бэкдора гипервизора.
- VSOCKpuppet – бэкдор ELF, работающий на хосте ESXi, который обеспечивает выполнение команд и передачу файлов через VSOCK, обходя традиционный сетевой Мониторинг.
- GetShell Plugin (client.exe) – клиент Windows VSOCK, используемый для подключения из гостевой виртуальной машины к скомпрометированному хосту ESXi и взаимодействия с бэкдором VSOCKpuppet.
Исследователи обнаружили дополнительные улики, указывающие на дату создания набора инструментов. Путь PDB, встроенный в бинарный файл «client.exe», содержит папку с именем «2023_11_02».
C:\Users\test\Desktop\2023_11_02\vmci_vm_escape\getshell\source\client\x64\Release\client.pdb
Возможно, что этот компонент был «частью более широкого набора инструментов vmci_vm_escape с компонентом getshell».
Исследователи полагают, что злоумышленники могут использовать модульный подход, при котором они отделяют инструменты для последующего использования от эксплойтов. Это позволяет им использовать одну и ту же инфраструктуру и просто переключаться на новые уязвимости.
Huntress сообщила, что они вполне уверены в том, что набор инструментов для эксплуатации уязвимостей использует три уязвимости, которые Broadcom раскрыла в марте прошлого года. Их оценка основана на поведении эксплойта, включая использование HGFS для утечки информации, VMCI для повреждения памяти и shellcode для ухода в ядро.
Однако они не могут с 100% уверенностью подтвердить, что это та же эксплуатация, которую Broadcom раскрыла в своем первоначальном бюллетене о трех уязвимостях нулевого дня.
Что касается времени эксплуатации и наблюдений, Huntress сообщает, что некоторые пути сборки включают упрощенный китайский язык, но есть также README на английском языке, что, возможно, указывает на намерение продать его или поделиться им с другими злоумышленниками.
Huntress комментирует, что эта комбинация, вероятно, указывает на то, что набор инструментов был разработан разработчиком с хорошими ресурсами, работающим в китайскоязычном регионе.
Хотя исследователи уверены, что SonicWall VPN был первоначальным вектором проникновения, они рекомендуют организациям применять последние обновления безопасности ESXi и использовать предоставленные правила YARA и Sigma для раннего обнаружения.
Поскольку MCP (Model Context Protocol) становится стандартом для подключения LLM к инструментам и данным, команды безопасности быстро принимают меры для обеспечения безопасности этих новых сервисов.
Комментарии (0)