Backdoor-ul Vasilek, ascuns în VMware Tools aproape doi ani într-o rețea medicală din Rusia

Un grup hacktivist aliniat Belarusului și-a păstrat discret accesul în rețeaua unei organizații medicale din Rusia timp de aproape doi ani. Trucul principal a fost să-și facă malware-ul să pară parte din VMware Tools, unul dintre cele mai de încredere și mai puțin monitorizate programe dintr-un mediu Windows virtualizat.

Ce s-a întâmplat

Cercetătorii firmei rusești de securitate Solar, subsidiară a Rostelecom, atribuie intruziunea unui grup urmărit sub numele Partisan Zmiy, cunoscut și ca Cyber Partisans. Grupul este activ cel puțin din 2020 și a lovit ținte industriale și guvernamentale din Rusia și Belarus cu Vasilek, un backdoor care folosește Telegram pentru comandă-și-control și furt de date.

Puncte-cheie din investigație:

Cronologie. Victima a descoperit intruziunea în decembrie 2025. Dovezile indică prima compromitere la începutul lui 2024. Organizația nu a fost numită, iar vectorul de acces inițial rămâne necunoscut.
Ascuns în VMware Tools. Atacatorii au instalat un serviciu de tip loader/scheduler, vmauad, deghizat în componentă VMware legitimă. Au pus executabile malițioase în directorul VMware Tools și au înlocuit DLL-uri VMware legitime cu un vmtools.dll modificat.
Activitate programată. Un authd.exe fals din folderul VMware Tools deschidea un tunel GOST în fiecare sâmbătă, între 22:00 și 23:00. De asemenea, lansa o singură dată o versiune actualizată a lui Vasilek (v1.5.8), la opt ore după pornirea serviciului.
Capabilități. Vasilek colectează informații despre sistem, execută comenzi, gestionează procese, transferă fișiere, face capturi de ecran, înregistrează tastele apăsate, escaladează privilegii prin runas, împiedică intrarea în sleep și se poate actualiza sau șterge singur. O comandă nouă, move_cursor, le permite operatorilor să simuleze acțiuni ale utilizatorului pe ecran.
Discreție în loc de funcții noi. Solar observă că grupul își concentrează efortul pe tehnici de ascundere, nu pe funcționalități noi. Printre ele: legarea de hostname, lansări programate pe timp de noapte, preluarea setărilor proxy ale sistemului, time-stomping, rotirea fișierelor pe aceleași căi și suprimarea mesajelor trimise.

Campania se abate și de la comportamentul anterior al grupului. În trecut, Cyber Partisans au dat atacuri distructive cu wiper-ul Pryanik și au șters jurnalele de evenimente Windows cu un utilitar numit Evlx. De data aceasta nu a fost perturbat nimic. Ipoteza de lucru a Solar este că legăturile de încredere ale victimei cu numeroase instituții medicale subsidiare au făcut ca accesul discret, pe termen lung, să valoreze mai mult decât sabotajul. Este ipoteza cercetătorilor, nu un motiv confirmat.

Alte operațiuni asociate grupului au folosit mesaje de phishing care instalează un FortiClient VPN legitim împreună cu instrumentul open-source DNSCat2 pentru control de la distanță.

De ce contează

Două lecții se aplică mult dincolo de această victimă:

Căile „de încredere” sunt puncte oarbe. Echipele de securitate pun adesea pe allow-list sau ignoră foldere precum C:\Program Files\VMware\VMware Tools\. Un DLL sau un serviciu malițios plasat acolo poate scăpa luni întregi unei verificări superficiale.
Sectorul medical este un punct de pivotare. Un grup medical cu legături de încredere către multe spitale și clinici îi oferă atacatorului o cale de acces către toate acestea. Persistența discretă într-o astfel de poziție este un risc de lanț de aprovizionare, nu doar o breșă izolată.

Ce e de făcut

Faceți un baseline pentru directoarele software ale furnizorilor. Calculați hash-urile fișierelor din VMware Tools și din alte foldere de agenți/drivere și generați alerte pentru orice binar sau DLL nesemnat ori neașteptat, în special înlocuiri ale vmtools.dll și executabile necunoscute precum authd.exe.
Auditați serviciile Windows. Căutați servicii cu nume care imită furnizori (de exemplu vmauad) dar fără un binar semnat corespunzător, cu tipuri de pornire neobișnuite sau cu căi de imagine care nu se potrivesc.
Urmăriți tunelurile programate. Semnalați conexiunile de ieșire care apar doar în ferestre săptămânale înguste, precum și instrumente de tunelare ca GOST sau DNSCat2.
Restricționați traficul Telegram de pe servere. Gazdele de producție și cele clinice rareori au nevoie de API-ul Telegram. Blocați-l sau generați alerte.
Protejați jurnalele. Trimiteți jurnalele de evenimente în afara gazdei, ca un utilitar de ștergere a jurnalelor să nu vă poată șterge cronologia.
Verificați time-stomping-ul. Comparați marcajele de timp ale fișierelor cu înregistrările de instalare și metadatele MFT, nu doar cu ce arată Explorer.

Intruziunile de lungă durată ca aceasta trec de obicei neobservate pentru că nimeni nu testează activ dacă părțile „de încredere” ale mediului pot fi abuzate. Echipa noastră de testare de penetrare verifică exact acest lucru, inclusiv dacă persistența în directoarele și serviciile furnizorilor ar fi detectată de monitorizarea actuală. Merită să aflați răspunsul înaintea unui atacator.

Acest articol rezumă cercetarea publicată de Solar și relatată de The Hacker News.