Рансъмуерът Panzer атакува италиански производители и телеком компании с RaaS, поддържащ ESXi

Рансъмуерът Panzer навлезе в Италия на фона на рязко увеличение на атаките. Операцията за „рансъмуер като услуга“ (RaaS) се появи на 5 август и посочи сред предполагаемите си жертви производител на кухни в Тревизо и инженерна компания за телекомуникации в Катанцаро.

Групата рекламира инструменти за системи Windows, Linux, FreeBSD и VMware ESXi. Атака срещу виртуализационен хост може едновременно да прекъсне работата на много бизнес приложения, превръщайки един компрометиран сървър в по-широкомащабен срив.

Panzer публикува жертви в 11 държави, като кампанията започна в момент, когато заявените инциденти с рансъмуер в Италия достигнаха 212 до 6 септември – над регистрираните 169 през цялата 2025 г.

Изследователят Андреа Фортуна заявява в доклад, споделен с Cyber Security News (CSN), че към публикациите на Panzer за жертви все пак трябва да се подхожда внимателно.

Doimo Cucine и NTE Italia все още не бяха потвърдили публично инцидентите към момента на публикуване на доклада, но тяхното включване в списъка може да е тактика за изграждане на доверие.

Рансъмуерът Panzer атакува италиански производители

Panzer се отличава по-малко с публично изследван криптиращ модул, отколкото с бизнес системата около него. Потенциалните филиали (affiliates) съобщават, че кандидатстват през Tox, преминават през проверка и получават достъп до контролен панел за компилиране на зловреден код, преговори, фактури за плащане, публикации на изтекли данни и фирмени акаунти.

Заявената подялба дава на филиалите 80 процента от всяко плащане и 20 процента за платформата. Операторите също така твърдят, че следят новите филиали за следи от достъп на изследователи или правоохранителни органи, което показва контролиран процес на набиране на персонал.

Неговата опция за ESXi е особено сериозна за производители и телеком доставчици, които изпълняват основните си работни товари като виртуални машини.

Атакуващ, който достигне до хипервизора, може да криптира множество виртуални дискове и да спре зависими услуги, вместо да засегне само единично устройство на служител.

Докладите относно техниките за атака срещу VMware vCenter илюстрират как контролът върху инфраструктурата за виртуализация може да се превърне в директен път за внедряване на рансъмуер.

Panzer също така изглежда комбинира криптирането с кражба на данни. Групата твърди, че е откраднала 30 GB данни от Doimo Cucine и 16 GB поверителни документи от NTE Italia.

Резервните копия могат да възстановят системите, но те не премахват натиска, създаден от заплахата за изтичане на данни или потенциалните задължения за докладване. Изследователите не са потвърдили независимо първоначалния метод за достъп или публично анализирания зловреден код на Panzer.

Наличните оценки вместо това свързват операцията, с ограничена степен на увереност, с атаки с компрометирани пароли, кражба на идентификационни данни, придвижване през отдалечени услуги, локално събиране на данни, манипулиране на инструменти за сигурност и прехвърляне на данни чрез алтернативни протоколи.

Възможните входни точки включват уязвими VPN или портални устройства, свързани с интернет, изложени услуги за отдалечен работен плот (RDP), фишинг съобщения със зловредни документи и злоупотреба със софтуер за отдалечено управление.

Фокусът върху уязвимите точки за достъп съответства на докладите за пътищата на атака през RDP и VPN, където откраднатите идентификационни данни и неотстранените уязвимости в периметърните системи отварят път към вътрешните мрежи.

Защита на виртуализираните операции

Италианските организации трябва да започнат с отдалечения достъп. Изисквайте защитена от фишинг многофакторна автентификация за VPN, отдалечена администрация и привилегировани акаунти; премахнете ненужните привилегии; и незабавно подменяйте идентификационните данни при съмнение за компрометиране.

Свързаните с интернет устройства и инструменти за отдалечено управление също изискват своевременно инсталиране на корекции за сигурност и редовен преглед на уязвимостите.

Сегментирането е също толкова важно. Дръжте контролерите на домейни, хранилищата за резервни копия, vCenter и интерфейсите за управление на ESXi далеч от ежедневните потребителски мрежи.

Ограничете административните протоколи до наблюдавани сегменти за управление, така че компрометирана работна станция да не може лесно да достигне до системите, контролиращи цялата виртуална инфраструктура.

Екипите трябва да следят за предупредителни знаци преди началото на криптирането: необичайни VPN влизания, нови администраторски акаунти, неочаквана PsExec или WMI активност, неодобрени инструменти за отдалечено управление, големи архиви в потребителски папки или ProgramData и непознати помощни програми за прехвърляне към облака.

Новата кампания с рансъмуер за ESXi подчертава защо телеметрията от хипервизорите заслужава същото внимание, както и предупрежденията от крайните точки.

Две команди заслужават спешно внимание, когато се появят неочаквано на сървър: vssadmin delete shadows и bcdedit recoveryenabled no.

Те могат да премахнат опциите за възстановяване, затова екипите за реагиране трябва да изолират засегнатия хост, да запазят доказателствата и да започнат процедури за реагиране на инциденти, вместо да чакат криптирането.

И накрая, поддържайте офлайн или невъзможни за промяна (immutable) резервни копия за всяка платформа, включително виртуални машини, и рутинно тествайте възстановяването.

Наблюдавайте големи изходящи трансфери, подгответе правни и комуникационни планове за двойна изнудваческа атака и се уверете, че тестването на възстановяването обхваща приложенията и зависимостите, които поддържат производството и телекомуникационните услуги.

Индикатори за компрометиране (IoCs):-

Табло: Картографиране на CVE-2026-59310 и 5 други основни уязвимости във VMware ESXi, използвани от рансъмуер през 2025-2026 г.

Забележка: IP адресите и домейните са умишлено неутрализирани (напр. [.]), за да се предотврати случайното им разрешаване или отваряне на хипервръзки. Неутрализацията да се премахва само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.

Поддържайте вашия SOC център информиран за активен зловреден код и фишинг в рамките на 24 часа от появата им. Изпробвайте ANYRUN, за да предотвратите инциденти с ранно откриване.