大脱出VM：MAESTROツールキットがVMwareの隔離を突破

仮想マシンはしばしば、リスク評価における侵入不可能な要塞のように捉えられ、ゲスト環境が侵害されてもホストは隔離されたままだという前提で運用されがちです。しかし2025年12月、Huntressチームが遭遇したインシデントは、冷厳な現実を突きつける痛烈な教訓となりました。すなわち、攻撃者は単一のゲストVMを突破するだけでVMware ESXiハイパーバイザーへ侵入し、ホスト全体を完全に掌握し得るのです。

Huntress Tactical Responseの評価によれば、初期侵入点は、その後に続く仮想化エクスプロイトよりもはるかにありふれたものだった可能性が高いとされています。痕跡と戦術から、攻撃者は侵害されたSonicWall VPNを介してネットワークに侵入したことが示唆されます。ドメイン管理者権限を悪用し、RDPでインフラ内を移動しながら、プライマリおよびバックアップのドメインコントローラーの双方を標的にしました。

セカンダリのドメインコントローラー上で、攻撃者はImpacketを用いて管理者パスワードを「Password01$」にリセットしようと試みましたが、防御措置により阻止されました。同時に、Advanced Port ScannerやSoftPerfect Network Scannerといった従来型の偵察ツールを展開し、その後ShareFinderで共有ネットワークリソースをカタログ化して、共有リソース一覧の持ち出し（流出）を行いました。

プライマリのドメインコントローラーに到達すると、VMware ESXi向けに調整されたエクスプロイトキットを展開しました。20分以内に、外部ネットワークからマシンを隔離しつつ内部接続は維持するようWindows Firewallのルールを改変しました。これは、被害者が支援を要請する能力を妨げながら、横展開を容易にするための戦略的な一手です。その後Huntressは、WinRARとネットワーク共有を用いたデータ持ち出し準備が進められていることを確認しました。

攻撃の最も高度な段階は、仮想の境界を超越するために設計されたツールキットの実行から始まりました。この一連の流れでは、devcon.exeでVMware VMCIコンポーネントを無効化し、続いてKDUを用いて未署名ドライバーを導入しました。これは、正規に署名されているが脆弱なドライバーを悪用してドライバー署名強制を回避する、典型的なBYOVD（Bring Your Own Vulnerable Driver）手法です。MAESTROと呼ばれるオーケストレーターがこの一連の操作を管理し、進捗を監視するとともに、侵害後に無効化したVMwareドライバーを復元して、運用上の平常性を装う外観を維持しました。

Huntressは、このツールキットがVMwareのVMSA-2025-0004ブリテンで修正された3つの脆弱性、すなわちCVE-2025-22226（vmxプロセスからの情報漏えい）、CVE-2025-22224（コード実行につながるメモリ破損）、CVE-2025-22225（vmxからハイパーバイザーカーネルへのサンドボックス脱出）を組み合わせて悪用している可能性が高いと見ています。このエクスプロイトは驚くほど広範で、5.1から8.0までの155のESXiビルドをサポートしており、旧式のインストール環境は無防備なまま取り残されます。

ハイパーバイザー侵害後、攻撃者はLinuxベースのバックドアをインストールしました。これは、ESXiのカーネルがELFバイナリを実行できるという事実を悪用したものです。コマンド＆コントロールにはVSOCKを使用しました。VSOCKは、従来のネットワークスタックを迂回してVMとホスト間で高速通信を行うチャネルです。その結果、このトラフィックは標準的なファイアウォールやネットワーク侵入検知システム（NIDS）からは見えず、従来の「回線上（on-the-wire）」監視を事実上無力化します。

Huntressは、これが防御戦略にもたらす困難さを強調しています。攻撃がVSOCKへ移行すると、検知は境界（ペリメータ）ではなくESXi環境そのものの内部で行う必要があります。ホスト上で直接、異常なプロセスや開いているVMCIソケットの存在を確認すること（例：lsof -aのようなコマンドの使用）が不可欠です。

このツールキットには、中国語圏の開発環境を示唆する痕跡が含まれていました。たとえば、簡体字中国語の文字を含むファイルパスなどです。PDBパスからは、ビルド日が2023年11月および2024年2月であることが示され、これらのVMware脆弱性が公に開示されるより1年以上前に作成されていたことになります。これは、このエクスプロイトが長期間にわたりゼロデイとして流通していた可能性、そして潤沢なリソースを持つ主体によって開発された可能性を示唆します。

Huntressは、このキャンペーンが最終的にランサムウェアの展開に至る寸前だったと見積もっています。ESXiホストを掌握すれば、多数の仮想サーバーを同時に麻痺させられるためです。幸いにも、Huntress Tactical ResponseとSOCが介入し、事態が結末に至る前に阻止しました。

この一連の出来事が示す教訓は、単純でありながら重いものです。最先端のエクスプロイトであっても、侵害されたVPNのようなありふれたセキュリティ不備から始まることが多く、仮想化は絶対的な防護ではありません。ESXiホストには最優先で迅速にパッチを適用し、レガシーバージョンを廃止し、ネットワーク監視をハイパーバイザーの直接監視で補完して、秘匿された活動が検知をすり抜けるのを防ぐことが不可欠です。