Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Cyberprzestępcy coraz częściej sięgają po legalne narzędzia administracyjne i wirtualizacyjne, aby ukryć swoją obecność w przejętych środowiskach. Jednym z najnowszych przykładów jest nadużywanie QEMU, otwartoźródłowego emulatora i hypervisora, do uruchamiania ukrytych maszyn wirtualnych bezpośrednio na zainfekowanych hostach.
Taka technika pozwala napastnikom stworzyć odseparowane środowisko operacyjne wewnątrz systemu ofiary. Dzięki temu mogą prowadzić rekonesans, kraść poświadczenia, przygotowywać eksfiltrację danych i rozwijać operację ransomware, pozostawiając mniej oczywistych śladów w samym systemie gospodarza.
W skrócie
Analitycy bezpieczeństwa zwracają uwagę na wzrost liczby incydentów, w których QEMU jest wykorzystywane jako mechanizm unikania detekcji. W opisanych kampaniach ukryte maszyny wirtualne służyły do utrzymania dostępu, uruchamiania narzędzi ofensywnych oraz maskowania aktywności po kompromitacji.
- QEMU było używane jako warstwa skrytości dla działań po przełamaniu zabezpieczeń.
- Zaobserwowano powiązania z operacjami prowadzącymi do wdrożenia ransomware.
- Maszyny wirtualne ułatwiały rekonesans domenowy, kradzież poświadczeń i eksfiltrację danych.
- Technika utrudniała pracę narzędzi EDR, AV i zespołów reagowania na incydenty.
Kontekst / historia
Wykorzystanie środowisk wirtualnych przez napastników nie jest całkowicie nowym zjawiskiem, ale obecnie zyskuje nowy wymiar operacyjny. W przeszłości podobne rozwiązania służyły głównie do ukrywania backdoorów, tunelowania ruchu lub izolowania złośliwych narzędzi od systemu hosta.
Obecnie maszyna wirtualna staje się pełnoprawnym zapleczem operacyjnym atakującego. Po uzyskaniu dostępu do środowiska ofiary napastnicy uruchamiają wewnętrzną platformę roboczą, z której realizują kolejne etapy ataku. Co ważne, metody wejścia do organizacji mogą się różnić, od luk w systemach zdalnego dostępu i help desk po słabo zabezpieczone urządzenia VPN, ale sam mechanizm ukrywania aktywności pozostaje podobny.
Analiza techniczna
Technika opiera się na dostarczeniu lub uruchomieniu komponentów QEMU na już skompromitowanym systemie. Następnie atakujący konfigurują start lekkiej maszyny wirtualnej w sposób maksymalnie dyskretny, często z wykorzystaniem zadań harmonogramu uruchamianych z uprawnieniami SYSTEM.
Istotną rolę odgrywa maskowanie artefaktów. Pliki obrazów dysków VM mogą otrzymywać nazwy sugerujące legalne elementy systemu, takie jak biblioteki, archiwa lub bazy danych. Dzięki temu obecność dodatkowego środowiska nie musi wzbudzać podejrzeń administratora ani prostszych mechanizmów detekcyjnych.
Wewnątrz ukrytej maszyny wirtualnej uruchamiany jest zwykle lekki system Linux wyposażony w zestaw narzędzi do działań ofensywnych. Taka architektura daje napastnikom kilka przewag:
- oddziela złośliwe narzędzia od systemu gospodarza,
- ogranicza liczbę bezpośrednich artefaktów na hoście,
- ułatwia utrzymanie trwałości i ukrytego dostępu,
- pozwala prowadzić komunikację z infrastrukturą atakującego przez tunele i przekierowania portów.
W analizowanych incydentach obserwowano wykorzystanie odwrotnych tuneli SSH, przekierowań portów oraz legalnych narzędzi administracyjnych do pobierania poświadczeń, kopiowania danych katalogowych i przeszukiwania zasobów sieciowych. W części kampanii tworzono również nowe konta administratorów, instalowano zdalne narzędzia dostępu, modyfikowano rejestr oraz osłabiano wybrane mechanizmy ochronne.
Z perspektywy obrony problem polega na tym, że duża część aktywności wykonywanej wewnątrz maszyny wirtualnej jest słabiej widoczna na poziomie hosta. Jeśli organizacja nie monitoruje procesów wirtualizacyjnych, nowych obrazów dysków, nietypowych zadań harmonogramu i podejrzanych połączeń tunelowanych, incydent może przez długi czas pozostać niewykryty.
Konsekwencje / ryzyko
Ukryte maszyny wirtualne z QEMU zwiększają skuteczność ataku, ponieważ łączą skrytość, elastyczność i trwałość. Dla napastnika oznacza to możliwość prowadzenia długotrwałej operacji po kompromitacji bez konieczności instalowania wielu jawnych komponentów na przejętym systemie.
Dla organizacji ryzyko jest poważne i obejmuje zarówno kradzież danych, jak i przygotowanie do szyfrowania zasobów. W praktyce może to oznaczać:
- dłuższy czas obecności napastnika w środowisku,
- większe ryzyko ruchu bocznego i eskalacji uprawnień,
- utrudnioną analizę powłamaniową,
- wyższe prawdopodobieństwo obejścia standardowych narzędzi ochronnych,
- większą skalę strat operacyjnych i reputacyjnych po wdrożeniu ransomware.
Szczególnie narażone są środowiska z niewystarczającą ochroną zdalnego dostępu, bez wieloskładnikowego uwierzytelniania, z ograniczoną telemetrią oraz słabą kontrolą nad kontami uprzywilejowanymi i zadaniami harmonogramu.
Rekomendacje
Organizacje powinny traktować nadużywanie QEMU jako realny scenariusz unikania detekcji, a nie jedynie techniczną ciekawostkę. Skuteczna obrona wymaga połączenia monitoringu hosta, sieci i tożsamości.
- Włączyć MFA dla wszystkich systemów zdalnego dostępu i portali administracyjnych.
- Ograniczyć ekspozycję usług dostępnych z internetu oraz szybko łatać krytyczne podatności.
- Monitorować uruchamianie procesów związanych z QEMU i innymi platformami wirtualizacyjnymi.
- Audytować zadania harmonogramu, zwłaszcza te uruchamiane z wysokimi uprawnieniami.
- Wykrywać tworzenie nowych obrazów dysków, nietypowych plików binarnych i ukrytych środowisk Linux na stacjach roboczych oraz serwerach.
- Korelować zdarzenia procesowe z nietypowymi połączeniami sieciowymi, tunelami SSH i przekierowaniami portów.
- Monitorować tworzenie nowych kont administratorów oraz dostęp do baz AD i repozytoriów poświadczeń.
- Uwzględnić analizę ukrytych VM w procedurach reagowania na incydenty i playbookach IR.
Podsumowanie
Nadużywanie QEMU pokazuje, że cyberprzestępcy coraz sprawniej wykorzystują legalne technologie do budowy trudnych do wykrycia środowisk operacyjnych. Ukryta maszyna wirtualna uruchomiona na przejętym hoście może stać się centralnym punktem rekonesansu, kradzieży danych i przygotowania ataku ransomware.
Dla zespołów bezpieczeństwa oznacza to konieczność rozszerzenia detekcji poza klasyczne wskaźniki malware. Widoczność w obszarze lokalnej wirtualizacji, zadań harmonogramu, tunelowania ruchu i nadużywania narzędzi administracyjnych staje się dziś kluczowym elementem skutecznej obrony.
Źródła
- https://news.sophos.com/en-us/2026/04/17/hidden-vms-the-abuse-of-qemu-for-malware-execution-persistence-and-evasion/
- https://securityaffairs.com/190982/security/hidden-vms-how-hackers-leverage-qemu-to-stealthily-steal-data-and-spread-malware.html
- https://nvd.nist.gov/vuln/detail/CVE-2025-26399
- https://www.microsoft.com/en-us/security/blog/
- https://www.huntress.com/blog