Lo zero-day di VMware è stato utilizzato da un attore cinese attivo nello spionaggio informatico

Mandiant ha pubblicato una nuova ricerca su UNC3886 – attore cinese molto abile in attività di spionaggio informatico – che sfrutta una vulnerabilità zero-day negli hypervisor VMware ESXi (CVE-2023-20867).

Charles Carmakal, CTO, Mandiant Consulting, Google Cloud, illustra: “UNC3886 è uno degli attori legati alla Cina attivi nello spionaggio informatico più intelligenti che possiamo vedere oggi. Hanno una forte sicurezza operativa e sono molto difficili da rilevare negli ambienti delle vittime. Essi monitorano i blog di Mandiant che descrivono la loro tecnica e si riattrezzano rapidamente per eludere il rilevamento. Cercano di limitare la distribuzione del malware ai sistemi della vittima che non supportano le soluzioni di rilevamento e risposta agli endpoint (EDR), rendendo molto difficile per le organizzazioni rilevare le loro intrusioni. Hanno compromesso con successo organizzazioni di difesa, tecnologia e telecomunicazioni con programmi di sicurezza maturi”.

• La vulnerabilità consente all’attore delle minacce di eseguire qualsiasi comando su una VM guest dall’hypervisor, senza bisogno della password di amministratore/root della VM guest. Per fare questo l’attore della minaccia dovrà prima accedere a un hypervisor (ad esempio tramite credenziali rubate all’hypervisor);
• Dal punto di vista forense, questi processi sono generati da un file eseguibile VMware legittimo e firmato digitalmente (ad esempio, vmtoolsd.exe su VM guest Windows);
• Inoltre, Mandiant ha osservato UNC3886 approfittare dei socket VMCI. Una volta implementata una backdoor VMCI su un hypervisor è possibile riconnettersi alla backdoor direttamente da qualsiasi macchina guest in cui viene eseguita, indipendentemente dalla connettività di rete o dalle configurazioni VLAN. Una volta ottenuto l’accesso all’host ESXI con la backdoor, gli attaccanti possono eseguire qualsiasi comando o trasferire file a/da qualsiasi altra macchina ospite;
• Questa ricerca sulle minacce è molto importante perché non esistono soluzioni EDR per gli hypervisor VMware e quindi la maggior parte delle organizzazioni non va attivamente a caccia di prove di compromissione su questi sistemi.

Contenuti correlati

• 
  Procurement dei materiali indiretti: risultati della Ricerca MRO 2024 di RS Italia

  RS Italia ha pubblicato la terza edizione dell’annuale Ricerca MRO 2024, sul procurement dei materiali indiretti comunemente detti MRO (Maintenance, Repair, Operations), realizzata in collaborazione con Adaci (Associazione italiana acquisti e supply management) e UER-Università Europea di...
• 
  Il 20% dei produttori utilizza la sicurezza di rete come prima linea di difesa contro gli attacchi informatici

  Secondo un recente sondaggio condotto dalla società di ricerche ABI Research sullo stato della tecnologia nel settore manifatturiero, i produttori hanno individuato la sicurezza OT della rete come principale ambito di investimento per quanto concerne la sicurezza...
• 
  Come quantificare il legame fra le particelle?

  Il Premio Nobel della Fisica 2022 ha premiato una serie di spettacolari esperimenti che hanno confermato l’esistenza dell’Entanglement, un fenomeno che trova spiegazione nella meccanica quantistica. L’Entanglement, correlazione quantistica, rappresenta la quantità di informazione aggiuntiva che possono...
• 
  Università, impresa e ricerca fanno rete con il Digital Transformation and Technology Transfer Hub di Unipa

  Un ecosistema aperto per promuovere e stimolare i processi innovativi di trasformazione delle imprese e, contemporaneamente, offrire opportunità di crescita e di successo ai tanti talenti e alle diverse professionalità che si formano all’interno dell’Ateneo in uno...
• 
  Università di Bologna e Hewlett Packard Enterprise Italia insieme per la didattica e la ricerca

  Il Rettore Giovanni Molari dell’Università di Bologna e Claudio Bassoli, Presidente e Amministratore Delegato Hewlett Packard Enterprise Italia (HPE), multinazionale statunitense che opera nel settore informatico, hanno siglato un protocollo di intesa che vedrà le due realtà...
• 
  Un’indagine commissionata da Getac mette in evidenza il ruolo della tecnologia rugged

   Getac Technology Corporation, tra i principali produttori di tecnologia rugged, ha annunciato i risultati del report che ha commissionato ad IDC dal titolo “Redefining Total Cost of Ownership: Rugged Technologies to Empower Industrial Operation2”, Aprile 2024. I risultati...
• 
  PNRR per il rilancio del manifatturiero

  Il PNRR contribuisce alla crescita e alla transizione digitale delle imprese del manifatturiero, che hanno usufruito degli incentivi 4.0 per realizzare importanti investimenti, altrimenti difficilmente realizzabili. Le aziende del settore si preparano ora a recepire il Piano Transizione 5.0,...
• 
  Il report Why Telecoms Matters di Vodafone

  Vodafone ha pubblicato un nuovo report dal titolo Why Telecoms Matters che dimostra come la connettività di prossima generazione e la digitalizzazione dell’industria possano svolgere un ruolo cruciale per la competitività europea. Why Telecoms Matters afferma che la competitività dovrebbe essere...
• 
  ECOI commissiona a Rohde & Schwarz l’indagine comparativa sulla qualità della rete mobile islandese con metodologia ETSI

  L’Ufficio islandese per le comunicazioni elettroniche (ECOI) ha scelto la soluzione di test delle reti mobili di Rohde & Schwarz per valutare e confrontare le prestazioni, la copertura e la capacità dei tre operatori di rete mobile...
• 
  Dal 2024 al 2026: come cambierà la cybersecurity

  Solo 12 mesi fa erano in pochi a conoscere ChatGPT, ma durante quest’anno è come se qualcuno avesse premuto un pulsante di accelerazione con un’adozione incredibile di questo nuovo servizio. L’anno di esplosione dell’intelligenza artificiale generativa (GenAI)...