Backdoor în VMware Tools: doi ani de acces necercetat într-o rețea sanitară rusă

Cum a permis backdoor-ul acces pe termen lung?

O grupare de hacktiviste aliate cu Belarus a păstrat o prezență persistentă în interiorul unei organizații sanitare ruse timp de aproape doi ani. Infiltrația a fost descoperită de Solar, o companie rusă de securitate cibernetică, care a identificat grupul ca fiind Partisan Zmiy, cunoscut și ca Cyber Partisans.

Grupul este activ de cel puțin din 2020.

Atacatorii au ascuns un backdoor în VMware Tools, o platformă de virtualizare folosită la scară largă. Asta le-a permis să se miște lateral prin rețea și să acceseze date sensibile ale pacienților și ale operațiunilor.

Timpul lung de prezență sugerează că grupul a operat cu o discreție atentă pentru a evita detectarea.

Backdoor-ul din VMware Tools a oferit atacatorilor un punct de sprijin care a supraviețuit scanărilor de securitate de rutină. Prin integrarea codului malefic într-o aplicație de întreprindere de încredere, au ocolit multe apărări perimetrale.

Această tehnică este în concordanță cu tacticile cunoscute ale grupului de a se amesteca în software legitim pentru a persista nedetectat.

De ce a durat doi ani până la detectare?

Analiza Solar a arătat că grupul a folosit backdoor-ul pentru a extrage date și a menține conexiuni de comandă și control.

Dependența sectorului sanitar față de infrastructură virtualizată a făcut din VMware Tools un loc ideal de ascundere. Atacatorii au exploatat această încredere pentru a opera timp de 24 de luni înainte de a fi descoperiți.

Combinația dintre o aplicație de încredere și o securitate operațională atentă a făcut infiltrarea extrem de dificilă de descoperit.

Scanările de vulnerabilități de rutină albează adesea VMware Tools, lăsând backdoor-ul să treacă neobservat. Organizațiile sanitare au de obicei constrângeri de resurse care limitează monitorizarea adâncă a rețelei, extinzând fereastra de oportunitate pentru atacatori.

Întârzierea subliniază o provocare mai largă în detectarea amenințărilor persistente avansate care se ascund în software legitim.

Organizațiile trebuie să treacă dincolo de detectarea bazată pe semnături și să adopte analiza comportamentală pentru a prinde astfel de infiltrări mai devreme.

Întrebări frecvente?

Ce este Partisan Zmiy?

Partisan Zmiy, sau Cyber Partisans, este un grup de hacktiviste aliate cu Belarus, activ din 2020. Specializate în infiltrări pe termen lung folosind aplicații de încredere ca acoperire.

De ce au ales atacatorii VMware Tools?

VMware Tools este o platformă standard de management al virtualizării, largă implementată în centre de date sanitare. Ascunderea unui backdoor în interiorul ei permite atacatorilor să se amesteca în procesele de sistem normale și să evite declanșarea alertelor.

Ce ar trebui să facă organizațiile pentru a preveni infiltrări similare?

Implementați detectare comportamentală, monitorizați injectarea neobișnuită a proceselor în aplicații de încredere și faceți audituri regulate ale straturilor de virtualizare. Solar recomandă verificarea integrității VMware Tools și activarea detectării avansate la endpoint pentru a prinde backdoor-urile ascunse.