Un gruppo APT sospettato di legami con la Cina ha sfruttato una vulnerabilità critica appena corretta in Broadcom VMware vCenter, compromettendo centinaia di sistemi in tutto il mondo e distribuendo ransomware derivato da Babuk.
Un gruppo di ricercatori di sicurezza informatica ha identificato una campagna di attacco che sfrutta una vulnerabilità critica appena corretta in Broadcom VMware vCenter, attribuendo l'operazione a un presunto attore APT con legami in Cina. L'attacco si basa sulla falla CVE-2026-59310 (punteggio CVSS: 9.8), una vulnerabilità di directory traversal che consente l'esecuzione di codice arbitrario. Broadcom ha rilasciato la patch il 29 luglio 2026, ma già cinque giorni dopo sono state rilevate attività malevole su scala globale.
Origine e modalità dell'attacco
Secondo QUIRSO, società tedesca specializzata in risposta agli incidenti, la campagna è stata condotta da un gruppo di lingua cinese, probabilmente attivo nel fuso orario UTC+08:00. L'attribuzione si basa su script e strumenti in cinese, riutilizzo di ricerche pubblicate in Cina, esclusione di vittime nella Cina continentale e orari operativi compatibili con la regione. In totale, sono stati compromessi 361 indirizzi IP unici in 47 paesi, con la maggior parte delle infezioni in Germania, Stati Uniti, Turchia, Iran e Francia.
Sfruttamento delle vulnerabilità CVE-2026-59310 e CVE-2026-59309
QUIRSO ha analizzato un server vCenter compromesso sia tramite CVE-2026-59310 che tramite CVE-2026-59309, una vulnerabilità di bypass dell'autenticazione. L'attività malevola è iniziata il 1° agosto 2026, con la creazione di un account amministratore da un indirizzo IP sospetto e l'uso di User-Agent che imitavano servizi VMware. Tuttavia, non sono stati rilevati accessi successivi con l'account creato, e le due catene di attacco non si sono sovrapposte.
Meccanismi di compromissione e persistenza
Lo sfruttamento di CVE-2026-59310 ha permesso agli attaccanti di eseguire codice come root tramite file cron appositamente creati. Un file di log "zz-poc59310-syslog.log" è stato utilizzato per scaricare e avviare un backdoor ("linuxFile") da un server remoto, fornendo agli attaccanti accesso remoto tramite WebSocket e garantendo la persistenza tramite systemd e cron. Sono stati inoltre scaricati e installati script e binari per reverse SSH, con infrastrutture di comando e controllo distribuite su diversi server.
Gli attaccanti hanno creato account amministrativi aggiuntivi, modificato i privilegi tramite script Python e operazioni LDAP, e manipolato la configurazione sudo per ottenere accesso root senza password. Sono state impiegate tecniche per eludere la rilevazione e ridurre la visibilità forense, tra cui la cancellazione di log e la creazione di account locali anche sugli host ESXi.
Distribuzione del ransomware Babuk e finalità dell'attacco
La fase finale dell'attacco ha visto la distribuzione di un ransomware che cifra i file degli host ESXi con estensione ".babyk", tipica delle varianti derivate da Babuk. Non è chiaro se la cifratura fosse l'obiettivo principale o un diversivo per ostacolare le indagini, dato che la cancellazione dei log limita la possibilità di analizzare le attività degli attaccanti. QUIRSO ritiene che il ransomware possa essere stato usato come "smokescreen" per coprire altre azioni più mirate.
Implicazioni e contesto europeo
L'attacco evidenzia la rapidità con cui gruppi avanzati sfruttano vulnerabilità appena divulgate, sottolineando l'importanza di aggiornare tempestivamente i sistemi critici. La presenza di numerose vittime in Europa, Italia inclusa, richiama l'attenzione sulle strategie di difesa e sulla necessità di monitoraggio continuo delle infrastrutture cloud e virtualizzate. Tematiche simili sono state affrontate anche nel bollettino settimanale sulle minacce informatiche, che analizza l'evoluzione degli attacchi contro servizi cloud e piattaforme digitali: approfondimento sulle nuove minacce tra AI, cloud e malware.
