Bug negli hypervisor VMware ESXi

Società leader nella sicurezza informatica, Mandiant ha da poco pubblicato una ricerca approfondita su UNC3886, un sofisticato attore di minacce cinese con una solida competenza in attività di spionaggio informatico. Questo gruppo è ora stato segnalato per l’uso di un’exploit zero-day per gli hypervisor VMware ESXi, identificato come CVE-2023-20867.
Charles Carmakal, CTO di Mandiant Consulting e Google Cloud, descrive UNC3886 come “uno degli attori legati alla Cina più abili nell’ambito dello spionaggio informatico”. La vulnerabilità scoperta consente all’attore delle minacce di eseguire comandi su una VM guest dall’hypervisor, senza necessità di una password di amministratore/root della VM guest. L’attaccante dovrà prima ottenere l’accesso a un hypervisor, per esempio tramite credenziali rubate. Dal punto di vista forense, questi processi sembrano legittimi, originati da un file eseguibile VMware autentico e firmato digitalmente, come vmtoolsd.exe su VM guest Windows. Significativamente, Mandiant ha rilevato UNC3886 che sfrutta i socket VMCI. Dopo l’implementazione di una backdoor VMCI su un hypervisor, è possibile riconnettersi alla backdoor da qualsiasi macchina guest in cui viene eseguita, indipendentemente dalla connettività di rete o dalle configurazioni VLAN.