Wprowadzenie do problemu / definicja
Współczesne kampanie cybernetyczne coraz częściej opierają się nie na głośnych exploitach, lecz na skutecznym ukrywaniu złośliwego kodu w zaufanych komponentach systemowych. Opisany incydent pokazuje, jak operatorzy powiązani z klastrem Cyber Partisans mieli przez długi czas utrzymywać dostęp do infrastruktury organizacji z rosyjskiego sektora ochrony zdrowia, maskując backdoora Vasilek jako element VMware Tools.
Tego rodzaju operacja wpisuje się w model długotrwałej infiltracji nastawionej na cyberszpiegostwo, utrzymanie persystencji oraz przygotowanie warunków do dalszego ruchu bocznego. Szczególnie niebezpieczne jest to, że atakujący wykorzystali zaufanie do legalnego oprogramowania obecnego w wielu środowiskach serwerowych i stacjach roboczych.
W skrócie
Według dostępnych ustaleń intruzi ukryli komponenty malware w katalogu VMware Tools i wykorzystali usługę podszywającą się pod legalny element oprogramowania. Pozwoliło to uruchamiać złośliwy plik wykonywalny oraz utrzymywać kanał komunikacji bez wzbudzania natychmiastowych podejrzeń.
- Backdoor Vasilek miał zostać ukryty w zaufanej lokalizacji systemu Windows.
- Persystencję zapewniała usługa imitująca komponent VMware.
- Aktywność intruzów miała trwać od początku 2024 roku do wykrycia w grudniu 2025 roku.
- Kampanię przypisano klastrowi Partisan Zmiy, znanemu również jako Cyber Partisans.
Kontekst / historia
Grupa określana jako Partisan Zmiy jest obserwowana od kilku lat i była wcześniej łączona z operacjami wymierzonymi w podmioty przemysłowe oraz instytucje rządowe w Rosji i na Białorusi. W poprzednich kampaniach aktor ten miał wykorzystywać malware Vasilek oraz dodatkowe narzędzia wspierające utrzymanie dostępu, ukrywanie aktywności i prowadzenie działań ofensywnych.
W analizowanym przypadku celem była organizacja dysponująca rozbudowaną infrastrukturą i relacjami zaufania z wieloma zależnymi placówkami medycznymi. To szczególnie istotne, ponieważ kompromitacja centralnego podmiotu może otworzyć drogę do dalszego rozprzestrzeniania się w środowisku i pozyskiwania danych z wielu segmentów organizacyjnych.
Na tle wcześniejszych incydentów interesujący jest brak natychmiastowych działań destrukcyjnych. Sugeruje to, że priorytetem mogła być wartość wywiadowcza długotrwałego dostępu, a nie szybki efekt sabotażowy.
Analiza techniczna
Kluczowym elementem operacji było ukrycie malware w katalogu powiązanym z VMware Tools. Z perspektywy obrony to klasyczny przykład nadużycia reputacji legalnego oprogramowania oraz wykorzystania zaufanych ścieżek do maskowania persystencji.
W środowisku ofiary zaobserwowano usługę loadera i harmonogramera o nazwie „vmauad”, podszywającą się pod komponent VMware. Jej zadaniem było uruchamianie złośliwego binarium umieszczonego pod ścieżką imitującą legalny składnik systemowy, taką jak katalog VMware Tools. Mechanizm mógł działać zarówno poprzez dodanie złośliwych plików wykonywalnych do katalogu produktu, jak i przez podmianę legalnych bibliotek DLL na zmodyfikowane wersje zawierające backdoora.
W opisie technicznym pojawia się również biblioteka vmtools.dll, co wskazuje na zastosowanie technik trojanizacji komponentów aplikacyjnych lub DLL hijackingu. Takie podejście znacząco utrudnia detekcję, ponieważ procesy uruchamiane z legalnych lokalizacji często nie generują natychmiastowych alertów, zwłaszcza jeśli organizacja nie prowadzi ścisłego monitoringu integralności plików.
Złośliwa usługa miała uruchamiać tunel GOST w określonym oknie czasowym, a następnie aktywować zaktualizowaną wersję Vasilek z opóźnieniem liczonym w godzinach od startu usługi. Takie opóźnienie oraz harmonogram nocny obniżają wykrywalność i utrudniają korelację zdarzeń z codzienną aktywnością użytkowników oraz administratorów.
Sam Vasilek dysponował zestawem funkcji typowych dla dojrzałego backdoora. Malware miał umożliwiać zbieranie informacji o hoście, wykonywanie poleceń systemowych, uruchamianie i zatrzymywanie procesów, transfer plików, wykonywanie zrzutów ekranu, rejestrowanie naciśnięć klawiszy oraz próby podnoszenia uprawnień. Dodatkowo mógł aktualizować własne komponenty, usuwać się z systemu i wpływać na zachowanie stacji roboczej.
Na uwagę zasługuje także funkcja pozwalająca na sterowanie kursorem i symulowanie aktywności użytkownika. Taki mechanizm może wspierać działania ręczne operatora, omijanie zabezpieczeń zależnych od aktywności sesji oraz obsługę innych narzędzi bez konieczności wdrażania pełnoprawnego oprogramowania do zdalnej kontroli pulpitu.
Całość wskazuje na wysoki poziom dyscypliny operacyjnej. Wśród cech operacyjnych wymieniano wiązanie działania z nazwą hosta, harmonogramy dzienne i nocne, dziedziczenie ustawień proxy systemowego, maskowanie pod legalnie zainstalowane, lecz nieużywane oprogramowanie, rotację plików w tych samych ścieżkach oraz timestomping.
Konsekwencje / ryzyko
Najpoważniejszym zagrożeniem w podobnych incydentach jest długotrwała, niezauważona obecność przeciwnika w środowisku o wysokiej wartości operacyjnej. W sektorze ochrony zdrowia może to oznaczać ekspozycję danych medycznych, informacji o infrastrukturze, danych personelu oraz dokumentacji administracyjnej.
Dodatkowym problemem są relacje zaufania między jednostką centralną a placówkami zależnymi. Jeżeli organizacja utrzymuje współdzielone tożsamości, połączenia administracyjne lub centralne repozytoria oprogramowania, pojedynczy punkt wejścia może przełożyć się na szeroki ruch boczny i kompromitację kolejnych podmiotów.
Ukrycie malware w katalogu VMware Tools zwiększa trudność detekcji. Administratorzy często traktują takie oprogramowanie jako element infrastruktury bazowej, dlatego anomalie w jego katalogach mogą przez długi czas pozostać niezauważone. W praktyce oznacza to nie tylko ryzyko kradzieży danych, ale również przygotowanie gruntu pod dalszą eskalację operacji, w tym przejmowanie kont uprzywilejowanych, sabotaż lub wdrożenie ładunków destrukcyjnych na późniejszym etapie.
Rekomendacje
Organizacje powinny objąć katalogi zaufanego oprogramowania, w tym VMware Tools, rozszerzonym monitoringiem integralności plików. Każda zmiana w plikach wykonywalnych, bibliotekach DLL, usługach systemowych i wpisach autostartu powinna być automatycznie korelowana z telemetrią EDR oraz logami administracyjnymi.
- Wdrożyć walidację podpisów cyfrowych oraz allowlisting dla plików uruchamianych z katalogów o wysokim poziomie zaufania.
- Monitorować nowe lub zmodyfikowane usługi Windows imitujące nazwy legalnych komponentów.
- Analizować binaria uruchamiane z katalogów VMware Tools pod kątem zgodności ze standardową instalacją.
- Wykrywać nietypowe harmonogramy zadań, opóźnione uruchamianie payloadów i aktywność tuneli sieciowych.
- Śledzić operacje timestomping oraz rotację plików w tych samych ścieżkach.
Ważnym elementem obrony pozostaje również przegląd relacji zaufania pomiędzy centralą a placówkami zależnymi. Segmentacja sieci, ograniczenie dwukierunkowych połączeń administracyjnych, separacja kont uprzywilejowanych oraz kontrola dostępu just-in-time mogą znacząco ograniczyć skuteczność ruchu bocznego.
W środowiskach wirtualnych i hybrydowych warto dodatkowo utrzymywać bazowe profile poprawnej instalacji VMware Tools dla różnych klas systemów. Ułatwia to szybkie wykrywanie różnic w zawartości katalogów, nietypowych usług, dodatkowych bibliotek oraz procesów niezgodnych z wzorcem referencyjnym.
Jeżeli organizacja wykryje podobne oznaki kompromitacji, powinna przyjąć, że przeciwnik mógł uzyskać dostęp do poświadczeń i wielu segmentów środowiska. Odpowiedź na incydent powinna więc obejmować nie tylko usunięcie malware, ale także pełny hunting pod kątem ruchu bocznego, reset haseł uprzywilejowanych, przegląd harmonogramów zadań, analizę artefaktów pamięci i weryfikację integralności systemów zależnych.
Podsumowanie
Przypadek ukrycia backdoora Vasilek w VMware Tools pokazuje, że skuteczność współczesnych operacji APT często wynika z połączenia prostego maskowania, znajomości środowiska ofiary i wysokiej dyscypliny operacyjnej. Wykorzystanie zaufanego katalogu aplikacyjnego, fałszywej usługi systemowej oraz opóźnionego uruchamiania ładunków mogło pozwolić przeciwnikowi ograniczyć widoczność i utrzymać się w infrastrukturze przez wiele miesięcy.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że monitoring powinien obejmować nie tylko jednoznacznie podejrzane ścieżki i procesy, ale także legalne komponenty infrastrukturalne, które mogą zostać wykorzystane jako nośnik persystencji. Skuteczna obrona przed podobnymi kampaniami wymaga połączenia kontroli integralności, zaawansowanej telemetrii endpointów, segmentacji środowiska oraz regularnego threat huntingu ukierunkowanego na nadużycie zaufanych narzędzi.
Źródła
- The Hacker News — Hackers Hid Vasilek Backdoor in VMware Tools During 2-Year Russian Healthcare Intrusion — https://thehackernews.com/2026/10/hackers-hid-vasilek-backdoor-in-vmware.html
- Solar — raport o aktywności Partisan Zmiy / Cyber Partisans — https://rt-solar.ru/
- MITRE ATT&CK — HiddenVNC — https://attack.mitre.org/
- Microsoft Learn — runas — https://learn.microsoft.com/
- HijackLibs — vmtools.dll — https://hijacklibs.net/