Η ομάδα Warp Panda εκμεταλλεύεται ευπάθεια του VMware ESX σε περιβάλλοντα vCenter
Νέα έρευνα της CrowdStrike αποδίδει στην συνδεδεμένη με την Κίνα ομάδα Warp Panda εκμετάλλευση μιας ευπάθειας καταγραφής του VMware ESX, που επέτρεπε την απόκρυψη κακόβουλης δραστηριότητας σε περιβάλλοντα εικονικοποίησης.
Η ομάδα επιθέσεων Warp Panda, η οποία συνδέεται με την Κίνα, επέστρεψε με νέες επιθέσεις που εκμεταλλεύονται ευπάθειες σε υποδομές εικονικοποίησης, σύμφωνα με έρευνα της CrowdStrike. Στο επίκεντρο βρίσκεται η ευπάθεια CVE-2026-41709, ένα ελάττωμα ανεπαρκούς καταγραφής (insufficient logging) στο VMware ESX, που εντοπίστηκε για πρώτη φορά τον Ιούλιο.
Σύμφωνα με την CrowdStrike, το ελάττωμα επέτρεπε στους επιτιθέμενους να παρακάμπτουν την καταγραφή των διαχειριστικών εντολών και να αποκρύπτουν την κακόβουλη δραστηριότητά τους, ενώ παράλληλα αναπτυσσόταν κακόβουλο λογισμικό μέσα σε περιβάλλοντα VMware vCenter. Οι παραβιάσεις σημειώθηκαν προτού η Broadcom διορθώσει τις συγκεκριμένες ευπάθειες, οι οποίες επηρέαζαν το vCenter καθώς και τις συνδεδεμένες υπηρεσίες Cloud Foundation, vSphere Foundation και Telco Cloud.
Παρέμβαση της CISA
Ως απάντηση, η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) πρόσθεσε αυτή την εβδομάδα την ευπάθεια στον κατάλογό της με τις γνωστές ευπάθειες που έχουν αξιοποιηθεί (Known Exploited Vulnerabilities), με χαμηλή βαθμολόγηση σοβαρότητας. Οι αμερικανικές ομοσπονδιακές υπηρεσίες που επηρεάζονται υποχρεούνται να αποκαταστήσουν το ζήτημα έως τις 11 Νοεμβρίου.
Στόχος ο νομικός κλάδος — και όχι μόνο
Τα ευρήματα της CrowdStrike προέκυψαν στο πλαίσιο αναφοράς για απειλές κατά του νομικού κλάδου, ωστόσο η εταιρεία σημείωσε ότι η εκστρατεία έπληξε και τους τομείς της τεχνολογίας και της μεταποίησης. Τα μέλη της Warp Panda συνήθως εκμεταλλεύονται ευπάθειες σε συσκευές edge με έκθεση στο διαδίκτυο — μεταξύ άλλων σε συσκευές VPN Ivanti Connect Secure και σε συστήματα F5 BIG-IP — για να αποκτήσουν αρχική πρόσβαση, πριν μετακινηθούν πλευρικά (lateral movement) προς τα περιβάλλοντα VMware vCenter.
Μόλις αποκτήσουν πρόσβαση εκεί, αναπτύσσουν προσαρμοσμένο κακόβουλο λογισμικό, συμπεριλαμβανομένου του Brickstorm, ενός εργαλείου backdoor που μιμείται νόμιμες διεργασίες του vCenter για να μην γίνεται αντιληπτό.
Επιθέσεις και σε περιβάλλοντα Microsoft cloud
Ορισμένες επιθέσεις στόχευσαν περιβάλλοντα Microsoft cloud, με το Brickstorm να χρησιμοποιείται για πρόσβαση σε υπηρεσίες Microsoft 365. Οι επιτιθέμενοι κατέβασαν ευαίσθητα έγγραφα από το SharePoint, μεταξύ των οποίων αρχεία που αφορούσαν ομάδες μηχανικής δικτύων και αντιμετώπισης περιστατικών.
«Η CrowdStrike Intelligence εκτιμά με μέτρια βεβαιότητα ότι η Warp Panda θα συνεχίσει να δίνει προτεραιότητα σε υποδομές εικονικοποίησης και σε ευπάθειες συσκευών edge […] τουλάχιστον έως τα μέσα του 2027», προειδοποιούν οι ερευνητές της εταιρείας.
Πηγή: SDxCentral
Πηγή: SDxCentral