Grupos de cibercriminosos de língua chinesa utilizaram um dispositivo SonicWall VPN comprometido para distribuir um toolkit de exploit direcionado ao VMware ESXi, aparentemente desenvolvido mais de um ano antes das vulnerabilidades exploradas serem tornadas públicas.
Ataques registrados em dezembro de 2025 e analisados pela Huntress, empresa de segurança gerenciada, revelaram o uso de uma técnica sofisticada conhecida como VM escape (escape de máquina virtual).
Essa técnica explorava três vulnerabilidades do VMware, divulgadas como zero-days em março de 2025. Entre as três falhas, apenas uma recebeu classificação crítica de severidade:
-
CVE-2025-22226
(7.1): leitura fora dos limites no HGFS que permite vazamento de memória do processo VMX.
-
CVE-2025-22224
(9.3): vulnerabilidade TOCTOU (time-of-check to time-of-use) na Virtual Machine Communication Interface (VMCI), que possibilita escrita fora dos limites e execução de código no processo VMX.
-
CVE-2025-22225
(8.2): vulnerabilidade de escrita arbitrária no ESXi que permite escapar da sandbox VMX e acessar o kernel.
Na época da divulgação, a Broadcom alertou que esses bugs poderiam ser combinados por invasores com privilégios administrativos para escapar da VM e assumir o controle do hypervisor subjacente. No entanto, um relatório recente da Huntress indica que as vulnerabilidades já poderiam estar sendo exploradas em conjunto desde pelo menos fevereiro de 2024.
Pesquisadores encontraram, nos caminhos PDB (program database) dos binários do exploit, uma pasta nomeada “2024_02_19”, o que sugere que o pacote pode ter sido desenvolvido como zero-day. Além disso, o nome da pasta (“All/Full version escape – delivery”) indica que o alvo seria o ESXi 8.0 Update 3.
A Huntress acredita que o acesso inicial ocorreu via SonicWall VPN comprometido.
O invasor utilizou uma conta Domain Admin para se movimentar via RDP até controladores de domínio, preparar dados para exfiltração e executar uma cadeia de exploits que permitiu a fuga da VM convidada para o hypervisor ESXi.
O toolkit de exploit contém os seguintes componentes:
- MAESTRO (exploit.exe): gerencia o escape da VM desabilitando dispositivos VMware VMCI, carrega o driver de exploit não assinado via KDU, monitora o sucesso da exploração e restaura drivers posteriormente.
- MyDriver.sys: driver de kernel não assinado que realiza o escape da VM, incluindo detecção da versão do ESXi, vazamento e corrupção de memória VMX, fuga da sandbox e instalação de um backdoor no hypervisor.
- VSOCKpuppet: backdoor em formato ELF rodando no host ESXi que permite execução de comandos e transferência de arquivos via VSOCK, evitando monitoramento tradicional de rede.
- GetShell Plugin (client.exe): cliente VSOCK para Windows usado para conectar a VM convidada ao host ESXi comprometido e interagir com o backdoor VSOCKpuppet.
Novos indícios reforçam o tempo de desenvolvimento do toolkit: um caminho PDB embutido no ‘client.exe’ contém uma pasta chamada “2023_11_02”, sugerindo que esse componente fazia parte de um kit mais amplo de escape VMCI com funcionalidade getshell.
Os pesquisadores levantam a hipótese de que o grupo por trás da ameaça adota uma estrutura modular, separando as ferramentas pós-exploração dos exploits propriamente ditos, o que facilitaria a adaptação a novas vulnerabilidades mantendo a mesma infraestrutura.
A Huntress comunicou ter confiança moderada de que o toolkit explora as três vulnerabilidades divulgadas em março pela Broadcom.
Essa avaliação baseia-se no comportamento do exploit, como o uso do HGFS para vazamento de informações, do VMCI para corrupção de memória e do shellcode para fuga ao kernel. No entanto, a equipe não conseguiu confirmar com total certeza que o exploit seja exatamente o descrito no boletim original da Broadcom.
Sobre a linha do tempo e indícios para atribuição, a Huntress destaca que alguns caminhos de compilação incluem caracteres chineses simplificados, mas há também um README em inglês, o que pode indicar intenção de venda ou compartilhamento com outros grupos.
Combinando esses elementos, os especialistas sugerem que o toolkit foi desenvolvido por um ator bem estruturado localizado em uma região de língua chinesa.
Apesar da confiança alta na VPN SonicWall como vetor inicial, os pesquisadores recomendam que as organizações atualizem os ambientes ESXi com os patches mais recentes e adotem as regras YARA e Sigma disponibilizadas para detecção precoce dessas ameaças.
Publicidade
A Solyd Hunter encontra, valida e entrega os melhores profissionais de Cibersegurança, Red Team, AppSec e Pentest para sua empresa com garantia e agilidade. Clique aqui e contrate com segurança. Saiba mais...