Hackers exploram falha crítica no VMware vCenter e comprometem sistemas em 47 países

Uma vulnerabilidade crítica no VMware vCenter está sendo explorada em uma campanha atribuída, com confiança moderada, a um grupo hacker de língua chinesa. Os ataques exploram a CVE-2026-59310, falha com pontuação CVSS 9,8 que permite execução arbitrária de código e foi corrigida pela Broadcom em 29 de julho. A atividade começou apenas cinco dias após a divulgação pública da vulnerabilidade.

Segundo a empresa alemã de resposta a incidentes QUIRSO, a campanha teria comprometido 361 endereços IP únicos em 47 países. Alemanha aparece com 55 sistemas afetados, seguida por Estados Unidos, com 41; Turquia, 38; Irã, 26; e França, 25.

A atribuição a um agente relacionado à China é baseada em diferentes indícios, incluindo artefatos em chinês nos scripts criados pelos invasores, possível reutilização de pesquisas publicadas por uma fonte chinesa, ferramentas e softwares de gerenciamento em chinês, ausência de vítimas na China continental e horários de atividade compatíveis com o fuso UTC+08:00.

A investigação também encontrou evidências da exploração da CVE-2026-59309, uma vulnerabilidade de bypass de autenticação no vCenter que vem sendo alvo de varreduras. Atividades maliciosas compatíveis com sua exploração foram identificadas já em 1º de agosto, seguidas pela criação de uma conta administrativa no ambiente.

Os pesquisadores, entretanto, não encontraram sobreposição entre essa atividade e a cadeia de ataque posteriormente associada à CVE-2026-59310 no mesmo servidor. A conta “vcenter_admin” criada durante a primeira atividade também não foi utilizada nas etapas seguintes.

Na exploração da CVE-2026-59310, os invasores abusaram do serviço cron do Linux. Um arquivo malformado chamado “zz-poc59310-syslog.log” foi registrado e, posteriormente, comandos curl ou wget foram utilizados para baixar e executar um backdoor a partir de infraestrutura controlada pelos atacantes.

O nome do arquivo faz referência direta à CVE e a um proof-of-concept (PoC) desenvolvido após a divulgação da vulnerabilidade. Segundo a QUIRSO, os indícios sugerem que o servidor de syslog do vCenter Server Appliance (vCSA) foi abusado para inserir arquivos em um diretório privilegiado utilizado pelo cron. Pelo menos um deles conseguiu executar e instalar o backdoor chamado “linuxFile”.

Esse malware fornece capacidade de execução remota de comandos. O implante estabelece uma conexão WebSocket com o servidor de comando e controle (C2), recebe instruções, executa comandos por meio do /bin/sh e envia os resultados de volta aos invasores. O endereço do C2 é ofuscado com XOR e a comunicação utiliza criptografia própria do malware, mesmo sobre uma conexão ws:// sem criptografia de transporte.

O backdoor também consegue restabelecer automaticamente a comunicação após falhas e possui mecanismos de persistência utilizando systemd e cron.

Os invasores recorreram extensivamente ao cron para executar outras cargas maliciosas. Entre elas estava o script “esxi.sh”, utilizado para baixar e instalar uma ferramenta de reverse SSH específica para a arquitetura do sistema. Esse mecanismo permitia manter um canal de acesso remoto à infraestrutura comprometida.

Para dificultar a identificação das atividades, alguns cronjobs receberam nomes semelhantes aos de serviços legítimos da VMware, como vmware-vpxd-stats-*, vmware-perf-collect-* e vmware-perf-sync-*.

Esses mecanismos foram utilizados para adicionar chaves SSH dos invasores, instalar um web shell JSP chamado “vmware-perf-update.jsp”, acessar credenciais e criar novas contas administrativas. Uma delas, chamada “adminuser”, foi adicionada ao grupo de administradores do vSphere SSO.

A campanha também envolveu a criação de outras contas, como “vcadmin”, além da manipulação do VMware Directory Service (vmdir). Em uma das técnicas observadas, os invasores criaram o arquivo /etc/sudoers.d/vmware-perf, concedendo à conta de serviço perfcharts acesso irrestrito ao root via sudo, sem necessidade de senha.

Scripts executados pelos hackers ainda buscavam credenciais do vmdir diretamente no sistema. Caso o primeiro método falhasse, o ataque procurava módulos Python da VMware para obter informações associadas à conta da máquina vCenter. As credenciais eram então utilizadas para realizar alterações privilegiadas no diretório.

Após consolidar o controle do vCenter, os responsáveis pela campanha utilizaram APIs do vSphere para reconhecimento do ambiente e o script “esxi.sh” para distribuir o cliente reverse SSH. Contas locais também foram criadas nos hosts ESXi, preparando o ambiente para etapas posteriores.

A cadeia de ataque terminou, no sistema analisado pela QUIRSO, com a implantação de um ransomware nos servidores ESXi. O malware criptografou arquivos utilizando a extensão .babyk, normalmente associada a variantes derivadas do ransomware Babuk.

Ainda não está claro, porém, se a implantação do ransomware era o objetivo principal da operação. A QUIRSO analisou apenas um dos sistemas comprometidos e não conseguiu determinar se o ransomware foi distribuído para outras vítimas da campanha.

Os pesquisadores consideram a possibilidade de o ransomware ter sido utilizado como uma espécie de cortina de fumaça. Ao criptografar também logs dos servidores ESXi, o malware poderia eliminar dados de telemetria importantes e dificultar a reconstrução das atividades anteriores dos invasores.

A CVE-2026-59310 foi particularmente perigosa porque forneceu execução de código diretamente como root no vCenter Server Appliance. Dessa forma, comandos posteriores já eram executados com privilégios máximos, sem que os invasores precisassem comprometer primeiro uma conta local comum e realizar elevação de privilégios.

Em uma atualização da investigação, a QUIRSO também identificou um repositório no GitHub chamado “pikpak0066/tmpclean”, criado em 14 de agosto e associado à mesma infraestrutura. Embora apresentado como um programa em Go para remover arquivos antigos do diretório /tmp no Linux, a análise encontrou binários reverse_ssh relacionados à campanha.

O programa verifica o diretório /tmp e remove arquivos, links simbólicos, sockets e outros itens modificados há pelo menos 24 horas, repetindo a operação a cada hora. Como grande parte dos artefatos maliciosos observados durante os ataques era armazenada nesse diretório, os pesquisadores suspeitam que a ferramenta seja utilizada para apagar sistematicamente evidências e dificultar análises forenses.

Uma versão denominada “tmpclean v3.0.0” também contém binários atualizados do reverse_ssh, indicando que o repositório pode estar sendo utilizado para distribuir novas cargas maliciosas. A motivação para sua criação permanece incerta.