Хакери крият задна врата Vasilek във VMware Tools, за да атакуват медицински организации

Хакери са скрили задната вратичка (backdoor) Vasilek в съществуваща инсталация на VMware Tools по време на продължително проникване в медицинска организация.

Атакуващите са поддържали достъп в продължение на около две години, като са изложили на риск чувствителна медицинска информация, оставяйки системите работещи, вместо да стартират унищожителна атака.

Най-ранните доказателства датират от началото на 2024 г. Изследователите са открили признаци на отдалечено изпълнение на команди, последвано от придвижване чрез легитимен достъп до отдалечен работен плот и споделяне на файлове във Windows.

Докладът не установява първоначалната точка на влизане, така че фишингът или експлоатирането на уязвимости не могат да бъдат потвърдени. Изследователите от Solar 4RAYS са идентифицирали актуализирана версия на Vasilek и недокументиран досега зареждащ модул (loader) по време на разследване, започнало през декември 2025 г.

От Solar заявяват в доклад, споделен с Cyber Security News (CSN), че припокриващата се инфраструктура и техники свързват проникването с Partisan Zmiy.

Организацията е поддържала двустранни доверени отношения с множество дъщерни медицински институции. Изследователите вярват, че достъпът е стимулирал шпионаж вместо прекъсване на работата, създавайки възможности за достигане до свързани организации.

Случаят се добавя към опасенията, подчертани от задни вратички, насочени към здравни организации, които също крият злонамерена дейност зад познат софтуер и мрежови услуги.

Хакери крият задната вратичка Vasilek във VMware Tools

VMware Tools е бил инсталиран легитимно дълго преди проникването, но администраторите не са го използвали. Неговата инсталационна директория се е превърнала в доверено, но неконтролирано място, където атакуващите са поставили зловредни компоненти с имена, напомнящи на истински софтуер за виртуализация.

Докладът описва злоупотреба с тази инсталация, а не компрометирано обновяване от доставчика. Малко преди разкриването през декември 2025 г. атакуващите са заменили легитимна библиотека на VMware със зловреден код и са запазили оригинала под друго име, вероятно за да позволят възстановяване.

Замененият файл е нямал цифров подпис, за разлика от оригиналната библиотека. Solar описва подмяната като механизъм за поддържане на достъпа.

Това използване на познати софтуерни локации отразява укриването на зловреден софтуер до легитимен такъв в други изследвания на задни вратички, въпреки че кампаниите са отделни.

Изследователите също така са открили Windows услуги с правдоподобни екранни имена (display names), което е позволило на зловредните библиотеки и персонализирания зареждащ модул да се слеят с рутинните списъци с услуги.

Зареждащият модул е стартирал инструменти по фиксиран график. Един GOST тунел е работил всеки събота от 22:00 ч. до 23:00 ч., докато друг тунел и Vasilek са стартирали веднъж, осем часа след започването на услугата.

Изследователите са интерпретирали ограничения вечерен прозорец като вероятна резервна връзка. Други подробности подсказват за умишлено прикриване. Атакуващите са променили времевите клейма на файловете, за да изглеждат като легитимни компоненти на VMware, и са използвали повторно едни и същи пътища за различни инструменти.

Конфигурацията на зареждащия модул също е препращала към специфично за сървъра хранилище за Windows обновления, което показва, че внедряването е последвало разузнаване, вместо да разчита изцяло на общи настройки.

Управление през Telegram и пропуски в откриването

Vasilek е 32-битова задна вратичка за Windows, описана публично за първи път през 2025 г. Solar анализира вътрешна версия 1.5.8, чиято таблица с команди съдържа 59 записа, включително псевдоними.

Неговите възможности включват изпълнение на команди, прехвърляне на файлове, записване на натиснатите клавиши, заснемане на екранни снимки, събиране на съдържанието на клипборда и манипулиране на въвеждането от мишката.

Операторите са издавали инструкции през Telegram група, използвайки публичния Bot API. Те са публикували от името на групата, за да скрият личните си акаунти, докато зловредният софтуер е връщал резултатите в същия чат.

Настройките на корпоративното прокси са помогнали на връзките му да следват маршрута, използван от легитимния трафик. Telegram е бил само един от каналите за достъп. DNSCat2, PartisanDNS и верига от GOST плюс 3proxy са предоставили алтернативи, правейки блокирането на една услуга недостатъчно.

Подобни задни вратички, използващи DNS тунелиране, илюстрират как атакуващите могат да скрият контролния трафик в обичайната мрежова дейност, без да се установява връзка между тези кампании.

Задната вратичка също така е проверявала името на инфектирания компютър преди активиране, което е затруднявало анализа на други места. Solar препоръчва проверка на подписите в директориите с доверен софтуер и разследване на сигналите от антивирусната програма, вместо просто да се внедрява защита.

Екипите за реагиране трябва да търсят допълнителни тунели, прокси вериги, инструменти за странично придвижване (lateral movement) и забавени злонамерени кодове с деструктивен характер. Дневниците за сигурност са запазили събития по създаване на услуги и следи от отдалечено изпълнение на команди, предоставяйки на следователите доказателства за реконструиране на части от проникването, след като атакуващите вече са били променили файлове и настройки.

Индикаторите по-долу запазват точните стойности от източника. Описанието на Solar свързва заменената библиотека на VMware с Vasilek, но нейният подробен апендикс с индикатори определя тази проба като зареждаща PartisanDNS.

И двете описания са запазени, вместо да бъдат мълчаливо съгласувани; адресите на споделен хостинг и легитимните артефакти също изискват контекстуална интерпретация.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.