中国語話者とみられる脅威アクターが、VMware vCenter Serverの重大な脆弱性を悪用してroot権限でのアクセスを獲得し、複数のバックドアを設置した上でディレクトリ認証情報を窃取し、さらにBabuk派生型のランサムウェアをESXiハイパーバイザー上に展開していたことが分かりました。
今回のキャンペーンで標的となったのは、リモートコード実行につながる可能性がある、VMware vCenterのSyslog Serverに存在する重大なディレクトラバーサルの脆弱性、CVE-2026-59310です。
Broadcomはこの脆弱性にCVSSスコア9.8を割り当て、2026年7月29日に公開しました。研究者らによると、侵害を受けた最初のシステムが攻撃者インフラと通信を始めたのが確認されたのは、それからわずか5日後の8月3日だったといいます。
セキュリティ企業QUIRSOは、47カ国にまたがる361件のユニークな被害者IPアドレスを特定しました。特に被害が大きかった地域は、ドイツ、米国、トルコ、イラン、フランスでした。
被害者にはテクノロジー企業、大学、研究機関、通信事業者、ネットワークサービスプロバイダーが含まれていました。
研究者らは、共有ホスティングやクラウド環境に属するシステムも一部含まれる可能性があるため、IPアドレスの数がそのまま被害組織数を意味するわけではないと注意を促しています。
攻撃者は、脆弱なvCenter Syslog Serverを悪用し、Linuxのcronがスケジュールタスクの実行に使用するディレクトリである/etc/cron.d/に悪意あるコンテンツを書き込んでいたとみられます。
zz-poc59310-syslog.logという名前の不審なファイルにはCVE番号への言及があり、root権限のコマンドをトリガーしてlinuxFileと呼ばれるペイロードをダウンロード・起動していました。
初回の実行の前後で、それに対応する認証イベントは見つかりませんでした。このことは、侵入者がCVE-2026-59310を利用して、vCenter Server Appliance(VCSA)上でroot権限による非対話型のコード実行を直接獲得したことを強く示唆しています。
攻撃者は1分おきに実行されるcronジョブを多用していました。これらのジョブはスクリプトをダウンロードし、/tmp/.x/にツールを配置した上でファイル権限を変更し、curl、wget、Bash、/bin/shといったLinux標準ユーティリティを使ってペイロードを実行していました。
初期段階のバックドアの一つであるlinuxFileは、攻撃者が管理するWebSocketサーバーに接続していました。攻撃者はまた、オープンソースのReverse SSHフレームワークも展開していました。
Reverse SSHは、侵害されたシステムから攻撃者インフラへの発信接続を確立するもので、攻撃者側はインバウンドのSSH接続を必要とせずに標的へリモートアクセスできるようになります。
永続化のため、同グループはsys-9436d8.serviceという名前のsystemdサービスを作成し、バックドアを繰り返し再起動させていました。さらに、vmware-vpxd-stats-、vmware-perf-collect-、vmware-perf-sync-で始まる名前など、通常のVMwareコンポーネントを模したcronジョブも作成していました。
これら偽装されたVMwareタスクは、SSHを有効化し、rootの認証済み鍵に攻撃者のSSH鍵を挿入し、VMware Perfchartsディレクトリ内にJSP形式のWebシェルを展開した上で、正規のサービスアカウントであるperfchartsにパスワードなしでのsudo権限を付与していました。
これにより、攻撃者は侵害したvCenterアプライアンスへ再侵入するための複数の経路を確保することになった、とmediumは指摘しています。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングへの可視性を高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/chinese-actors-weaponize-vcenter/
