Atores de ameaça de língua chinesa teriam explorado um aparelho SonicWall VPN comprometido como ponto inicial para implantar um exploit direcionado ao VMware ESXi, possivelmente desenvolvido já em fevereiro de 2024.
A empresa de cibersegurança Huntress detectou essa atividade em dezembro de 2025 e conseguiu interrompê-la antes que evoluísse para sua fase final, que poderia resultar em um ataque de ransomware.
O ataque teria explorado três vulnerabilidades críticas do VMware, divulgadas como zero-days pela Broadcom em março de 2025:
CVE-2025-22224
(pontuação CVSS 9,3),
CVE-2025-22225
(CVSS 8,2) e
CVE-2025-22226
(CVSS 7,1).
A exploração bem-sucedida permitiria que um invasor com privilégios administrativos vazasse a memória do processo Virtual Machine Executable (VMX) ou executasse código nesse mesmo processo.
No mesmo mês, a agência americana CISA incluiu essas falhas no catálogo Known Exploited Vulnerabilities (KEV), com base em evidências de exploração ativa.
Segundo as pesquisadoras Anna Pham e Matt Anderson, o toolkit analisado exibe strings em chinês simplificado em seus caminhos de desenvolvimento, incluindo uma pasta chamada “全版本逃逸--交付” (“All version escape – delivery”).
Isso sugere que o exploit pode ter sido criado como zero-day mais de um ano antes da divulgação pública pela VMware, o que indica um desenvolvedor bem estruturado, provavelmente oriundo de uma região de língua chinesa.
A conclusão de que o toolkit explora as três vulnerabilidades baseia-se no comportamento do exploit, que usa Host-Guest File System (HGFS) para vazamento de informações, Virtual Machine Communication Interface (VMCI) para corrupção de memória e shellcode que escapa para o kernel.
O kit de ferramentas inclui diversos componentes, com destaque para o “exploit.exe” (também chamado MAESTRO), que orquestra a evasão da VM utilizando os seguintes binários incorporados:
- devcon.exe, para desabilitar os drivers VMCI do lado convidado no VMware;
- MyDriver.sys, driver de kernel não assinado que contém o exploit, carregado na memória kernel com a ajuda da ferramenta open-source Kernel Driver Utility (KDU).
Após isso, o exploit é monitorado e os drivers VMCI são reativados.
A função principal do driver é identificar a versão exata do ESXi no host e disparar os exploits para as falhas
CVE-2025-22226
e
CVE-2025-22224
.
Com isso, o invasor consegue gravar três payloads diretamente na memória do VMX:
1. Shellcode da fase 1, preparando o ambiente para escapar da sandbox do VMX;
2. Shellcode da fase 2, para estabelecer presença no host ESXi;
3. VSOCKpuppet, backdoor ELF de 64 bits que oferece acesso remoto persistente e se comunica pela porta VSOCK 10000.
Após gravar os payloads, o exploit sobrescreve um ponteiro de função dentro do VMX, salvando o valor original e substituindo-o pelo endereço do shellcode.
Em seguida, envia uma mensagem VMCI para o host, acionando o VMX.
Ao processar essa mensagem, o VMX usa o ponteiro corrompido, redirecionando para o shellcode malicioso — etapa que corresponde à
CVE-2025-22225
, vulnerabilidade descrita pela VMware como “escrita arbitrária” que permite o escape da sandbox.
O protocolo VSOCK cria um canal direto de comunicação entre as VMs guest e o hypervisor.
Os atacantes usam “client.exe” (ou GetShell Plugin), que pode ser executado de qualquer VM Windows convidada no host comprometido, para enviar comandos ao backdoor no ESXi.
O caminho PDB embutido no binário indica desenvolvimento em novembro de 2023.
Esse cliente é capaz de transferir arquivos entre o ESXi e a VM, além de executar comandos shell no hypervisor.
Curiosamente, o GetShell Plugin é entregue como um arquivo ZIP (“Binary.zip”) dentro da VM Windows, acompanhado de um arquivo README com instruções de uso que detalham funcionalidades de transferência e execução remota.
Ainda não está claro quem está por trás desse toolkit, mas o uso do chinês simplificado, a complexidade da cadeia de ataque e a exploração das vulnerabilidades zero-day meses antes da divulgação pública indicam um desenvolvedor bem estruturado, possivelmente localizado em uma região de língua chinesa, segundo a Huntress.
“A intrusão revela uma cadeia de ataque sofisticada e em múltiplas etapas, projetada para escapar do isolamento das máquinas virtuais e comprometer o hypervisor ESXi subjacente”, afirmou a empresa.
“Ao combinar vazamento de informações, corrupção de memória e escape da sandbox, o invasor alcança o pior pesadelo de qualquer administrador de VM: o controle total do hypervisor a partir de uma máquina virtual convidada.”
A Huntress destacou ainda que o uso do VSOCK para comunicação do backdoor é particularmente preocupante, pois praticamente ignora a monitoração tradicional de rede, dificultando muito a detecção.
O toolkit prioriza furtividade em vez de persistência, apontando para uma operação altamente focada na evasão.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...