Un nuovo report pubblicato dall’Huntress Tactical Response Team documenta un’intrusione estremamente sofisticata individuata nel dicembre 2025, nella quale un attore avanzato è riuscito a compromettere un’infrastruttura VMware ESXi sfruttando una VM escape, ovvero l’evasione da una macchina virtuale guest verso l’hypervisor sottostante.
Secondo gli analisti, l’attacco si basa su un toolkit sviluppato e operativo molto prima della divulgazione pubblica delle vulnerabilità sfruttate, evidenziando come alcune falle critiche dell’ecosistema di virtualizzazione siano state probabilmente utilizzate come zero-day per oltre un anno.
Contrariamente a quanto ci si potrebbe aspettare da un’operazione di questo livello, l’accesso iniziale non è avvenuto tramite una vulnerabilità dell’hypervisor, ma attraverso la compromissione di un account VPN SonicWall.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Da qui, gli aggressori hanno ottenuto accesso a un ambiente Windows interno e hanno iniziato una fase di movimento laterale che li ha portati da un Domain Controller di backup al Domain Controller primario.
Solo dopo aver consolidato il controllo sull’infrastruttura Windows, gli attaccanti hanno distribuito un toolkit avanzato orchestrato da un binario denominato “MAESTRO” (exploit.exe), utilizzato come componente di coordinamento dell’intera catena di attacco.
All’interno dei sistemi Windows compromessi, riportano i ricercatori di Huntress, il toolkit ha sfruttato la tecnica Bring Your Own Vulnerable Driver (BYOVD) per ottenere privilegi a livello kernel. In questa fase viene caricato un driver malevolo non firmato, MyDriver.sys, il cui scopo non è colpire l’hypervisor ESXi, bensì:
È importante sottolineare che ESXi non esegue codice Windows e che il BYOVD rappresenta esclusivamente una fase di escalation e consolidamento all’interno dell’infrastruttura Microsoft, fungendo da trampolino di lancio verso l’ambiente di virtualizzazione.
La fase più critica dell’operazione è rappresentata dalla VM escape, ottenuta sfruttando una o più vulnerabilità nell’interfaccia tra guest e hypervisor. Questo tipo di attacco non “disabilita i driver VMware dall’interno della VM”, ma colpisce bug nell’emulazione hardware o nei meccanismi di comunicazione guest-host, come i processi vmx e i device virtuali.
Il report collega l’attacco allo sfruttamento delle vulnerabilità successivamente identificate come:
Al momento dell’intrusione, tali vulnerabilità non erano ancora di dominio pubblico, suggerendo un utilizzo attivo come zero-day prima della disclosure ufficiale da parte di VMware.
Come sottolinea Huntress: “L’isolamento delle macchine virtuali non è assoluto. Vulnerabilità dell’hypervisor possono consentire agli attaccanti di evadere dalla VM guest e compromettere tutti i workload presenti sull’host.”
Una volta ottenuto l’accesso all’host ESXi, gli aggressori hanno evitato deliberatamente l’uso delle tradizionali comunicazioni di rete, che sarebbero state intercettabili da firewall, IDS o sistemi NDR. Al loro posto, hanno implementato una backdoor denominata VSOCKpuppet.
Questo malware sfrutta VSOCK (Virtual Sockets), un canale di comunicazione ad alta velocità progettato per il traffico host-guest all’interno degli ambienti VMware. L’abuso di VSOCK consente agli attaccanti di:
L’attività rimane visibile a livello di host ESXi, ma risulta opaca ai controlli di sicurezza di tipo network-centric.
Durante l’analisi forense, i ricercatori hanno individuato stringhe in cinese semplificato all’interno dei percorsi di sviluppo, inclusa una directory denominata “全版本逃逸-交付”, traducibile come “Escape di tutte le versioni – consegna”.
I timestamp e i riferimenti presenti nei file PDB indicano che il toolkit era già pronto e operativo nel febbraio 2024, più di un anno prima della divulgazione pubblica delle CVE sfruttate.
Secondo Huntress: “La cronologia di sviluppo suggerisce che questo exploit sia esistito come zero-day per un periodo prolungato, evidenziando il rischio rappresentato da attori ben finanziati con accesso continuativo a vulnerabilità non corrette.”
Il toolkit risulta progettato come una vera e propria chiave universale, con supporto dichiarato per 155 build di VMware ESXi, dalla versione 5.1 fino alla 8.0, includendo numerose release end-of-life ancora ampiamente diffuse in ambienti enterprise.
Huntress invita le organizzazioni a rivedere l’assunto secondo cui la virtualizzazione rappresenti una barriera di sicurezza intrinseca. Le raccomandazioni includono:
Il messaggio finale è chiaro: affidarsi esclusivamente all’isolamento delle VM e alle difese di rete non è più sufficiente.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Vulnerabilità
Diritti
Cybercrime
Cybercrime