China-Linked Hackers Exploited VMware ESX Zero-Day to Reduce Audit Trail Visibility

La Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra de EE. UU. in­cor­po­ró una falla de se­gu­ri­dad en Broad­com VM­wa­re ESX a su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das, tras co­no­cer­se su uso por parte de un grupo de ata­can­tes vin­cu­la­do con China lla­ma­do Warp Panda. Este fallo, re­gis­tra­do bajo una no­men­cla­tu­ra es­pe­cí­fi­ca, con­sis­te en un pro­ble­ma de re­gis­tro in­su­fi­cien­te que per­mi­te a un usua­rio con pri­vi­le­gios de ad­mi­nis­tra­dor lle­var a cabo cier­tas ac­cio­nes sin que que­den re­gis­tra­das.

El grupo ofen­si­vo uti­li­zó esta de­bi­li­dad como un ex­ploit de día cero con el pro­pó­si­to de dis­mi­nuir la vi­si­bi­li­dad de los re­gis­tros de au­di­to­ría du­ran­te ata­ques di­ri­gi­dos al sec­tor legal es­ta­dou­ni­den­se. Para lo­grar man­te­ner un ac­ce­so per­sis­ten­te y en­cu­bier­to, estos ac­to­res ma­li­cio­sos sue­len apro­ve­char fa­llas en dis­po­si­ti­vos pe­ri­me­tra­les co­nec­ta­dos a in­ter­net me­dian­te pro­gra­mas ma­li­cio­sos per­so­na­li­za­dos.

Las ope­ra­cio­nes de este co­lec­ti­vo tam­bién com­pren­den el mo­vi­mien­to la­te­ral hacia en­tor­nos de ad­mi­nis­tra­ción para des­ple­gar malwa­re pro­pio, la ex­trac­ción de to­kens de se­sión en la nube con el fin de in­gre­sar a pla­ta­for­mas de pro­duc­ti­vi­dad sin ac­ti­var aler­tas de cre­den­cia­les, y la in­cor­po­ra­ción de dis­po­si­ti­vos de au­ten­ti­ca­ción mul­ti­fac­tor no au­to­ri­za­dos. De­bi­do a esta ac­ti­vi­dad ma­li­cio­sa ac­ti­va, se han emi­ti­do re­co­men­da­cio­nes para que las agen­cias gu­ber­na­men­ta­les apli­quen las ac­tua­li­za­cio­nes co­rres­pon­dien­tes en el plazo es­ta­ble­ci­do.