Lo zero-day di VMware è stato utilizzato da un attore cinese attivo nello spionaggio informatico

Pubblicato il 16 giugno 2023

Mandiant ha pubblicato una nuova ricerca su UNC3886 – attore cinese molto abile in attività di spionaggio informatico – che sfrutta una vulnerabilità zero-day negli hypervisor VMware ESXi (CVE-2023-20867).

Charles Carmakal, CTO, Mandiant Consulting, Google Cloud, illustra: “UNC3886 è uno degli attori legati alla Cina attivi nello spionaggio informatico più intelligenti che possiamo vedere oggi. Hanno una forte sicurezza operativa e sono molto difficili da rilevare negli ambienti delle vittime. Essi monitorano i blog di Mandiant che descrivono la loro tecnica e si riattrezzano rapidamente per eludere il rilevamento. Cercano di limitare la distribuzione del malware ai sistemi della vittima che non supportano le soluzioni di rilevamento e risposta agli endpoint (EDR), rendendo molto difficile per le organizzazioni rilevare le loro intrusioni. Hanno compromesso con successo organizzazioni di difesa, tecnologia e telecomunicazioni con programmi di sicurezza maturi”.

La vulnerabilità consente all’attore delle minacce di eseguire qualsiasi comando su una VM guest dall’hypervisor, senza bisogno della password di amministratore/root della VM guest. Per fare questo l’attore della minaccia dovrà prima accedere a un hypervisor (ad esempio tramite credenziali rubate all’hypervisor);
Dal punto di vista forense, questi processi sono generati da un file eseguibile VMware legittimo e firmato digitalmente (ad esempio, vmtoolsd.exe su VM guest Windows);
Inoltre, Mandiant ha osservato UNC3886 approfittare dei socket VMCI. Una volta implementata una backdoor VMCI su un hypervisor è possibile riconnettersi alla backdoor direttamente da qualsiasi macchina guest in cui viene eseguita, indipendentemente dalla connettività di rete o dalle configurazioni VLAN. Una volta ottenuto l’accesso all’host ESXI con la backdoor, gli attaccanti possono eseguire qualsiasi comando o trasferire file a/da qualsiasi altra macchina ospite;
Questa ricerca sulle minacce è molto importante perché non esistono soluzioni EDR per gli hypervisor VMware e quindi la maggior parte delle organizzazioni non va attivamente a caccia di prove di compromissione su questi sistemi.

Ricerca di Rockwell Automation: i produttori italiani sono sempre più orientati all’esecuzione e alla crescita
Rockwell Automation ha annunciato i risultati relativi all’Italia dell’11ª edizione del suo State of Smart Manufacturing Report. La ricerca evidenzia un cambiamento nell’approccio dei produttori italiani alla trasformazione digitale: oggi, infatti, crescita ed espansione della capacità produttiva...
L’AI enterprise si scontra con nuovi limiti: ricerca NTT Data sulle barriere legate a privacy e sovranità dei dati
NTT Data ha pubblicato la ricerca A Playbook for Private and Sovereign AI (Guida pratica per l’AI privata e sovrana) che sintetizza il “Report globale 2026 sull’intelligenza artificiale”, evidenziando come l’intelligenza artificiale aziendale stia superando i limiti dell’architettura e...
Intesa Sanpaolo e BI-REX: investimenti su ricerca e innovazione per la competitività delle imprese
Monitorare il percorso di innovazione e trasferimento tecnologico delle imprese manifatturiere e dei servizi ICT in Italia, per implementarne la diffusione e valutarne gli effetti in termini di risultati economico-reddituali: questo il tema al centro dell’Osservatorio Industria...
Innovazione: costituito il nuovo ‘Cluster Tecnologico Lombardo del Made in Italy-sistema cosmetico’
La Giunta regionale ha preso atto della costituzione del nuovo ‘Cluster Tecnologico Lombardo del Made in Italy – Sistema Cosmetico’ compiendo il passaggio propedeutico al successivo iter amministrativo di riconoscimento da parte della Direzione generale Università, Ricerca...
Logistica: dati dell’Osservatorio Contract Logistics del Politecnico di Milano
La logistica riveste un ruolo strategico per il tessuto economico e produttivo del Nord Ovest, un territorio che genera il 33% del PIL nazionale, rappresenta il 38% delle esportazioni nazionali e oggi pesa per ben il 44%...
Milano-Cortina 2026: oltre le medaglie, si prepara una battaglia cyber ad alto rischio
Mentre il mondo si prepara a celebrare l’appuntamento dei Giochi Invernali di Milano-Cortina 2026, attori di minacce nascosti e sempre più insidiosi si preparano a scendere in pista. Unit 42, il team di intelligence sulle minacce di...
Finanziamento da 50 milioni di euro a Comau da parte della BEI (Banca europea per gli investimenti)
La Banca europea per gli investimenti (BEI) e Comau hanno firmato un finanziamento da 50 milioni di euro a sostegno delle attività di ricerca, sviluppo e innovazione dell’azienda torinese nei settori della robotica, delle soluzioni di automazione...
Gli investimenti nella prima linea aumentano produttività e profitti: una ricerca di Zebra Technologies
Un recente studio di Zebra Technologies rivela che gli investimenti per una prima linea connessa stanno generando significativi ritorni in termini di produttività, ricavi e profitti grazie all’ottimizzazione delle attività. Lo studio “Impact of Intelligent Operations: Manufacturing“...
Manifattura italiana: l’innovazione diventa motore di competitività
RS ha presentato i risultati di una ricerca internazionale “Tradizione e innovazione: l’Italia ridisegna l’industria di domani”, condotta per esplorare il ruolo dell’innovazione nei principali settori industriali. Lo studio analizza come le imprese affrontano oggi le sfide...
PMI e cybersecurity, c’è ancora tanto da fare: l’analisi del Cisco Cybersecurity Readiness Index 2025
Le piccole e medie imprese italiane (PMI), cioè ossia le aziende che hanno meno di 250 dipendenti, risultano ancora impreparate a fronteggiare i cyberattacchi, e di conseguenza si trovano attualmente esposte a rischi informatici significativi. Secondo il...