Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Suspected China-Nexus Actor Exploits VMware vCenter Flaw, Deploys Babuk-Derived Ransomware

1 minute de lecture

Mis à jour :

Campagne d’attaques APT chinoise ciblant VMware vCenter

Des chercheurs en cybersécurité ont identifié une campagne d’attaques menée par un groupe APT (Menace persistante avancée) probablement lié à la Chine, exploitant des vulnérabilités critiques dans VMware vCenter pour déployer des portes dérobées et des rançongiciels dérivés de Babuk.

Points clés :

  • Victimologie : 361 adresses IP compromises dans 47 pays (majoritairement en Allemagne, aux États-Unis, en Turquie, en Iran et en France).
  • Méthodes d’évasion : Utilisation d’un outil de nettoyage automatique (« tmpclean ») hébergé sur GitHub pour effacer les preuves sur les systèmes infectés et déploiement de rançongiciels pour masquer les traces forensiques.
  • Tactiques : Utilisation intensive du démon cron pour maintenir la persistance, créer des comptes administrateurs factices, et installer des web shells (JSP).
  • Infrastructure : Utilisation de serveurs C2 (commande et contrôle) utilisant des communications WebSocket chiffrées via une logique applicative personnalisée.

Vulnérabilités exploitées :

  • CVE-2026-59310 (Score CVSS 9.8) : Faille de type “directory-traversal” permettant l’exécution de code arbitraire avec des privilèges root.
  • CVE-2026-59309 : Faille de contournement d’authentification permettant l’accès aux interfaces de gestion.

Recommandations :

  • Mise à jour immédiate : Appliquer les correctifs fournis par Broadcom pour les versions concernées de VMware vCenter.
  • Audit de sécurité : Rechercher la présence de comptes administrateurs suspects (ex: « adminuser », « vcadmin ») et de fichiers anormaux dans /etc/cron.d/ ou /tmp/.
  • Surveillance : Analyser les accès aux logs système et vérifier la présence de services systemd inhabituels ou de scripts de persistance liés aux noms de services VMware légitimes.
  • Restreindre l’accès : Isoler les serveurs vCenter et limiter strictement l’accès aux interfaces de gestion API via des politiques de pare-feu réseau.

Source

Vous pourriez aimer