Investigadores de ciberseguridad han atribuido la explotación de una falla de seguridad recientemente parcheada en Broadcom VMware vCenter a un actor de amenazas persistente avanzado (APT) sospechoso de estar vinculado a China. Los ataques implican la explotación de CVE-2026-59310 (puntuación CVSS: 9.8), una grave vulnerabilidad de traversal de directorios en el servidor VMware vCenter que podría ser utilizada por un actor malicioso para ejecutar código arbitrario. Broadcom lanzó un parche para esta falla el 29 de julio de 2026.
La empresa alemana de respuesta a incidentes QUIRSO evaluó con moderada confianza que la campaña de explotación dirigida a CVE-2026-59310 es operada por un actor de amenazas de habla china, probablemente trabajando en la zona horaria UTC+08:00, que se usa predominantemente en regiones de habla china.
Esta evaluación se basa en la convergencia de artefactos en chino en los scripts creados por el atacante, la aparente reutilización de investigaciones de una publicación de seguridad china, el uso operativo repetido de herramientas y software de gestión en chino, la victimología que excluye a China continental y los patrones de actividad compatibles con el horario laboral UTC+08:00.
La actividad, que comenzó cinco días calendario después de la divulgación pública de la falla, se estima que comprometió 361 direcciones IP de víctimas únicas en 47 países, con la mayoría de las infecciones distribuidos en Alemania (55), EE. UU. (41), Turquía (38), Irán (26) y Francia (25).
Explotación de CVE-2026-59309
Un servidor vCenter comprometido analizado por QUIRSO fue atacado tanto con CVE-2026-59310 como con CVE-2026-59309, un bypass de autenticación que también ha sido objeto de escaneos activos. La evidencia muestra actividad maliciosa consistente con la explotación de CVE-2026-59309 desde el 1 de agosto de 2026, seguida de la creación de una cuenta administrativa en vCenter.
Sin embargo, no se observaron eventos de inicio de sesión para la cuenta administrativa legítima que se utilizó para crear esta nueva cuenta. La creación de la cuenta se originó desde la dirección IP 146.59.252[.]178 e implicó el descubrimiento de vSphere a través de la API REST el 3 de agosto, utilizando cadenas de agente de usuario como "GoodMoodle-VCFleet/1.0", en un intento de disfrazarla como actividad relacionada con VMware.
Vale la pena señalar que VCF Fleet es una capacidad de gestión centralizada introducida por Broadcom en VMware Cloud Foundation (VCF) en la versión 9.0 para implementar, escalar, parchear y operar múltiples instancias de VCF. QUIRSO indicó que no hay superposición entre esta actividad y la cadena de eventos que involucra el abuso de CVE-2026-59310 en el mismo sistema a partir del 3 de agosto, y que la cuenta de administrador "vcenter_admin" recién creada no se utilizó en fases posteriores del ataque.
Explotación de CVE-2026-59310
En cuanto a la explotación de CVE-2026-59310, la primera actividad implicó que el daemon cron (también conocido como crond) registrara un archivo cron malformado llamado "zz-poc59310-syslog.log". En el siguiente paso, se ejecuta un comando curl (o alternativamente un comando wget) para recuperar una puerta trasera desde "5.34.177[.]38:9861" y ejecutarla, y luego eliminar el archivo de registro.
La convención de nomenclatura del archivo de registro es significativa, ya que es una referencia directa al identificador CVE y que fue un proof-of-concept (PoC) ideado después de que los detalles de la falla se hicieran públicos. El sufijo '-syslog.log' también refleja la convención de nomenclatura del syslog remoto de vCSA, pero el archivo aparece bajo /etc/cron.d en lugar del directorio de salida de syslog configurado. QUIRSO explicó que esto sugiere que el servidor syslog de vCSA fue abusado para colocar archivos en una ubicación de ejecución privilegiada. Aunque algunos archivos estaban malformados y no fueron ejecutados por cron, al menos un archivo se ejecutó con éxito y colocó la puerta trasera 'linuxFile' en el sistema.
El actor de amenazas detrás de la operación también dependió en gran medida de cron para ejecutar cargas útiles maliciosas, incluida la obtención y ejecución de un script de shell ("esxi.sh") desde la dirección IP "185.144.28[.]120:3232". Este script de shell sirve como descargador e instalador de persistencia para un binario de reverse SSH ("reverse_ssh") específico de la arquitectura, recuperado de la misma infraestructura.
Otros trabajos cron estaban relacionados con la creación de directorios de preparación, descarga de ejecutables, cambio de permisos y ejecución, mientras hacían referencia a servidores en "192.255.141[.]13:8080" y "5.34.176[.]100:5244". En lo que parece ser un error de seguridad operativa, el último expuso el conjunto de herramientas de binarios reverse SSH a través de un listado de directorio de AList.
Una breve descripción de algunas de las diversas acciones llevadas a cabo por el actor de amenazas es la siguiente: Desplegar "linuxFile" (también conocido como systemlog o linux_x86), que se conecta a "ws://intel.se9ly9upbhay.shop:8080/ws" y establece persistencia a través de un servicio systemd. Configurar tres cronjobs que suplantan servicios legítimos de VMware: vmware-vpxd-stats-* (facilita un canal de acceso remoto basado en SSH agregando la clave pública SSH del atacante al archivo de claves autorizadas), vmware-perf-collect-* (deja un web shell JSP llamado "vmware-perf-update.jsp") y vmware-perf-sync-* (deja el mismo web shell y ejecuta un script codificado en Base64 que realiza acceso a credenciales y crea una nueva cuenta llamada "adminuser", que luego se agrega al grupo de Administradores de vSphere SSO).
Crear dos cuentas adicionales: agregar "vcadmin" a vSphere con un script de Python codificado en Base64 dejado en disco mediante comandos bash ejecutados en un cronjob y crear una cuenta de administrador de vSphere a través de una operación de "Agregar" LDAP externo contra el servicio de directorio de VMware (vmdir) de vCenter desde un cliente remoto utilizando una cuenta administrativa preexistente pero comprometida.
Crear un archivo llamado "/etc/sudoers.d/vmware-perf" con una configuración que otorga a la cuenta de servicio "perfcharts" acceso sudo sin contraseña, irrestricto y no interactivo a root. Ejecutar scripts de shell como "/tmp/.vmware-perf-upd.sh" para obtener credenciales para vmdir consultando la ubicación de registro HKEY_THIS_MACHINEservicesvmdir. Si este método falla, busca el módulo de Python vmafd de VMware y llama a GetMachineName(), GetMachinePassword() y GetDomainName() para obtener el nombre distinguido y la contraseña asociados con la cuenta de máquina de vCenter. Las credenciales robadas se utilizan para realizar modificaciones privilegiadas en el directorio, incluida la adición de la identidad "adminuser" mencionada anteriormente al grupo de Administradores.
Usar la API de vSphere para realizar operaciones de descubrimiento y "esxi.sh" para implementar el cliente reverse_ssh. Crear cuentas locales en los hosts ESXi (por ejemplo, "adminuser") para permitir el cifrado del ransomware. Tomar medidas para evadir la detección, reducir la visibilidad forense y mezclarse con el entorno de VMware.
El ataque finalmente allana el camino para el despliegue de un ransomware en hosts ESXi que cifra archivos con la extensión ".babyk", que generalmente se asocia con ransomware derivado de Babuk. No está claro si este era el objetivo final de la campaña, o si la carga útil derivada de Babuk fue "seleccionada oportunísticamente o incluso intencionalmente" para confundir los esfuerzos de atribución.
La explotación de CVE-2026-59310 proporcionó al actor ejecución de código inmediata, no interactiva, en un contexto root en el appliance del servidor vCenter. Los comandos posteriores registrados por CROND ya se ejecutaban como root, dando al actor acceso irrestricto al VCSA subyacente sin tener que comprometer primero una cuenta local sin privilegios y escalar desde ella.
Este informe subraya la importancia de aplicar parches de seguridad rápidamente y de monitorear la actividad sospechosa en entornos VMware, especialmente en servidores vCenter expuestos a Internet.
Deja una respuesta