Хактивисты два года скрывали бэкдор Vasilek в VMware Tools в сети российской медицинской организации

Исследователи из российской ИБ-компании Solar опубликовали отчёт о длительной кибератаке на инфраструктуру российской медицинской организации. По данным аналитиков, злоумышленники находились в сети жертвы почти два года, а их активность атрибутирована кластеру угроз Partisan Zmiy, который также известен под именем Cyber Partisans — группировки хактивистов, связываемой с Беларусью. Инцидент важен не только длительностью присутствия в сети, но и способом маскировки вредоносного кода: бэкдор Vasilek был внедрён в легитимные компоненты VMware Tools, что затрудняет его обнаружение стандартными средствами защиты и позволяет вредоносной активности сливаться с нормальным поведением инфраструктуры.

Подробности

По информации Solar, группировка Partisan Zmiy активна как минимум с 2020 года и ранее фигурировала в атаках на промышленные объекты. В рассматриваемом инциденте злоумышленники использовали бэкдор Vasilek, размещённый внутри VMware Tools — набора утилит, штатно устанавливаемого на виртуальные машины для интеграции с гипервизором VMware. Размещение вредоносного кода в доверенных компонентах позволяет атакующим снижать заметность активности: процессы и файлы, связанные с инструментами виртуализации, редко вызывают подозрения у администраторов и средств мониторинга. Бэкдор обеспечивал удалённое управление скомпрометированной системой и сохранял присутствие в сети жертвы на протяжении почти двух лет. Точные версии затронутых продуктов, а также номера CVE в исходном отчёте не приводятся — атака основывалась на использовании легитимного программного обеспечения, а не на эксплуатации конкретной уязвимости.

Что делать

Специалисты рекомендуют организациям, использующим VMware Tools, провести проверку целостности установленных компонентов и сверить контрольные суммы файлов с эталонными значениями от поставщика. Следует ограничить права доступа к каталогам с утилитами виртуализации и организовать мониторинг изменений в них. Дополнительно необходимо проверить журналы событий на предмет аномальных подключений к виртуальным машинам, а также пересмотреть сегментацию сети, чтобы затруднить горизонтальное перемещение злоумышленников. Для снижения рисков компрометации учётных данных следует внедрить MFA для доступа к инфраструктуре управления виртуализацией и VPN, а также обеспечить централизованный сбор и корреляцию событий безопасности (SIEM) с правилами обнаружения подозрительной активности в доверенных процессах. Итог: инцидент демонстрирует, что доверенные компоненты инфраструктуры виртуализации становятся удобным каналом для долгосрочного скрытого присутствия. Регулярный контроль целостности таких инструментов и мониторинг аномалий в их поведении критичны для своевременного выявления компрометации.

Источник: The Hacker News