Lo zero-day di VMware è stato utilizzato da un attore cinese attivo nello spionaggio informatico

Mandiant ha pubblicato una nuova ricerca su UNC3886 – attore cinese molto abile in attività di spionaggio informatico – che sfrutta una vulnerabilità zero-day negli hypervisor VMware ESXi (CVE-2023-20867).

Charles Carmakal, CTO, Mandiant Consulting, Google Cloud, illustra: “UNC3886 è uno degli attori legati alla Cina attivi nello spionaggio informatico più intelligenti che possiamo vedere oggi. Hanno una forte sicurezza operativa e sono molto difficili da rilevare negli ambienti delle vittime. Essi monitorano i blog di Mandiant che descrivono la loro tecnica e si riattrezzano rapidamente per eludere il rilevamento. Cercano di limitare la distribuzione del malware ai sistemi della vittima che non supportano le soluzioni di rilevamento e risposta agli endpoint (EDR), rendendo molto difficile per le organizzazioni rilevare le loro intrusioni. Hanno compromesso con successo organizzazioni di difesa, tecnologia e telecomunicazioni con programmi di sicurezza maturi”.

• La vulnerabilità consente all’attore delle minacce di eseguire qualsiasi comando su una VM guest dall’hypervisor, senza bisogno della password di amministratore/root della VM guest. Per fare questo l’attore della minaccia dovrà prima accedere a un hypervisor (ad esempio tramite credenziali rubate all’hypervisor);
• Dal punto di vista forense, questi processi sono generati da un file eseguibile VMware legittimo e firmato digitalmente (ad esempio, vmtoolsd.exe su VM guest Windows);
• Inoltre, Mandiant ha osservato UNC3886 approfittare dei socket VMCI. Una volta implementata una backdoor VMCI su un hypervisor è possibile riconnettersi alla backdoor direttamente da qualsiasi macchina guest in cui viene eseguita, indipendentemente dalla connettività di rete o dalle configurazioni VLAN. Una volta ottenuto l’accesso all’host ESXI con la backdoor, gli attaccanti possono eseguire qualsiasi comando o trasferire file a/da qualsiasi altra macchina ospite;
• Questa ricerca sulle minacce è molto importante perché non esistono soluzioni EDR per gli hypervisor VMware e quindi la maggior parte delle organizzazioni non va attivamente a caccia di prove di compromissione su questi sistemi.

Contenuti correlati

• 
  Tre aziende su quattro stanno incrementando investimenti nell’Intelligenza Artificiale Generativa

  L’AI Generativa (GenAI) è l’acceleratore del decennio e rappresenta un’opportunità unica e immediata per le imprese. Lo studio Dell Technologies GenAI – condotto su 500 decisori IT (ITDM) con la responsabilità di implementare la GenAI in Francia,...
• 
  WeTech’s Academy: 12 masterclass per formare i nuovi talenti

  WeTech’s Academy, il progetto di formazione semestrale finanziato e promosso dal system integrator specializzato in Information Tecnhology WeTech’s e dal partner tecnologico VMware, noto fornitore di servizi multi-cloud per accelerare l’innovazione nelle aziende, è partito con grande...
• 
  L’AI rivoluziona la sanità con un mercato da 188 miliardi di dollari entro il 2030

  Il 94% delle organizzazioni sanitarie ha dichiarato di utilizzare l’Intelligenza Artificiale o il Machine Learning, secondo i dati riportati da un sondaggio di Morgan Stanley Research; ugualmente il 40% dei dirigenti sanitari prevede un aumento degli investimenti nell’IA nei prossimi...
• 
  Trend Micro permette alle organizzazioni di combattere l’IA malevola

  Trend ha bloccato con successo 73 miliardi di minacce nella prima metà del 2023, dato in aumento del 16% su base annua. Questi numeri dimostrano sia la grande capacità nel rilevamento delle minacce sia l’ampiezza del panorama cybercriminale di...
• 
  Previsioni IDC: l’unico percorso di crescita nell’economia digitale è con i dati

  Le ultime ricerche di IDC evidenziano che oggi i due terzi del PIL di un Paese altamente sviluppato sono generati da prodotti e servizi ad alta densità di informazioni. Si tratta di beni di nuova generazione che...
• 
  Un’indagine globale di Altair rivela il crescente impatto della tecnologia digital twin nei settori bancario e assicurativo

  Altair ha pubblicato i risultati di un’indagine globale che rivela l’uso diffuso della tecnologia digital twin nel settore bancario e finanziario. Sebbene la tecnologia del digital twin sia tipicamente associata alla progettazione di prodotti fisici, secondo l’indagine...
• 
  Primo Osservatorio per l’Industry 4.0 realizzato da MindSphere World Italia

  In collaborazione con Asap Service Management Forum – Centro Interuniversitario di Ricerca sull’innovazione e la gestione dei Servizi nelle Imprese Industriali – l’Associazione MindSphere World Italia lancia “Digital Servitization nel settore machinery”, ovvero il suo primo Osservatorio per...
• 
  Nokia e EY lanciano uno studio sul metaverso

  Secondo uno studio pubblicato da Nokia ed EY, le aziende che hanno già implementato casi d’uso del metaverso industriale stanno riscontrando maggiori benefici rispetto a quelle ancora in fase di pianificazione, in particolare per quanto riguarda la...
• 
  Un’indagine svela le opportunità per migliorare l’efficienza, la scalabilità e il successo dei progetti aziendali di AI e data science

  Altair ha pubblicato i risultati di un’indagine internazionale che ha rivelato alti tassi di adozione e implementazione di strategie organizzative basate su dati e AI a livello globale. L’indagine ha anche rivelato che spesso il successo dei...
• 
  La digitalizzazione nell’UE: progressi, sfide e opportunità future

  La crisi del COVID-19 ha suscitato un’impennata d’interventi da parte delle imprese dell’UE nel campo della digitalizzazione. Secondo un nuovo rapporto, intitolato La Digitalizzazione in Europa tra il 2022 e il 2023: dati emersi dall’Indagine della BEI sugli investimenti, durante...