中国网络间谍组织针对VMware的攻击活动

主要观点

研究者们发现针对VMware ESXi主机、vCenter伺服器和Windows虚拟机的黑客活动，极有可能是中国网络间谍组织所为。此次研究是Mandiant在九月的一篇文章后续，该文中提到攻击者利用合法的VMware工具向Windows客户机发送指令，但并未能明确认定其背后的中国来源。

Mandiant和Google Cloud的高级威胁研究员Rufus Brown告诉SC Media，自那以来，他们发现了更多的关联性。

自上次博客之后，我们已观察到显著增长的活动，包括对其他中国活动的针对与重叠，”Brown表示。

在一篇于6月13日发布的博客文章中，Mandiant的四位研究人员详细介绍了这个组织被称为UNC3886如何利用零日漏洞CVE202320867获得对Windows、Linux和PhotonOSvCenter客户虚拟机的特权命令，而无需验证客户凭证。

UNC3886然后在ESXi主机上部署后门，以便进行横向移动和持续化。

在6月13日的公告中，VMware将此VMware工具认证绕过漏洞描述为低严重性，CVSSv3基本分数为39，因为攻击者必须拥有ESXi的根权限才能利用该漏洞。然而，漏洞猎人警告说，复杂的黑客攻击通常需要多个相互联系的漏洞，而漏洞的严重性评分并不总能反映其对对手的实际价值。

Mandiant表示，自九月以来，该组织识别出更多的攻击者脚本，使该集团能够获取vpxuser凭证，列举ESXi主机及其客户虚拟机，并操控ESXi主机的防火墙规则。

该安全公司还确认，这个间谍组织使用多个通过VMCI插槽的后门进行横向移动和持续存在。Mandiant高层解释道：“VMCI插槽是端点，能在运行ESXi主机的实体机器上实现低延迟和高通量的通信，使得ESXi主机和其虚拟机之间联系受到加速。”

这些后门为回获存取提供了一种新的持续性手段，且对于攻击者来说十分吸引，因为它允许他们绕过通常需要访问ESXi主机的网络划分；规避大部分开放端口和异常NetFlow行为的安全审查；重获对ESXi主机的存取仅需要访问任何虚拟机；以及其他优势。

对该间谍组织的持续调查加强了UNC3886在ESXi、vCenter及VMware虚拟化平台上拥有“深刻理解和技术知识”的观点，Mandiant的研究人员如此写道。

在Mandiant持续研究该集团的同时，有迹象表明，这一威胁行为者也在向他们学习。在过去，他们和其他安全公司公开分享如