Hackers exploram falha crítica no VMware vCenter e atingem infraestruturas em 47 países
Uma vulnerabilidade crítica no VMware vCenter está no centro de uma ampla campanha de ataques que já comprometeu centenas de sistemas em todo o mundo. A brecha, catalogada como CVE-2026-59310 e com pontuação CVSS 9,8, permite a execução arbitrária de código em servidores vulneráveis e foi corrigida pela Broadcom em 29 de julho. Mesmo assim, criminosos digitais começaram a explorá-la em larga escala apenas cinco dias após a divulgação pública do problema, evidenciando a velocidade com que grupos avançados acompanham e exploram falhas recém-publicadas.
De acordo com a empresa alemã especializada em resposta a incidentes QUIRSO, a campanha já atingiu 361 endereços IP únicos distribuídos em 47 países. A Alemanha lidera o número de sistemas comprometidos, com 55 instâncias afetadas, seguida de perto pelos Estados Unidos, com 41. Turquia (38), Irã (26) e França (25) também aparecem entre os alvos mais atingidos, o que indica o foco em ambientes corporativos e governamentais com forte dependência de virtualização.
Os investigadores atribuem, com nível moderado de confiança, a campanha a um grupo de fala chinesa. Essa conclusão se apoia em vários elementos: artefatos em chinês presentes nos scripts utilizados pelos invasores, uso de ferramentas e softwares de gerenciamento com interfaces nesse idioma, indícios de que pesquisas realizadas por um autor chinês teriam sido reaproveitadas, além da ausência de vítimas identificadas na China continental. Os horários de atividade também coincidem com o fuso horário UTC+08:00, reforçando a hipótese de origem.
Além da exploração principal da CVE-2026-59310, a equipe da QUIRSO encontrou sinais de abuso de outra vulnerabilidade relevante no vCenter, a CVE-2026-59309, relacionada a bypass de autenticação. Essa falha já vinha sendo alvo de varreduras automatizadas na internet, e atividades maliciosas compatíveis com sua exploração foram identificadas já em 1º de agosto. Em um dos casos analisados, os invasores criaram uma conta administrativa no ambiente, passo típico de quem busca consolidar acesso privilegiado.
Curiosamente, os pesquisadores não encontraram sobreposição direta entre as ações associadas à CVE-2026-59309 e a cadeia de ataque posterior vinculada à CVE-2026-59310 no mesmo servidor. A conta administrativa “vcenter_admin”, criada durante a primeira fase dos ataques, não foi reutilizada nas etapas consequentes. Isso pode indicar atores diferentes explorando o mesmo alvo em momentos distintos ou mudanças de tática dentro do próprio grupo ao longo da campanha.
Na exploração da CVE-2026-59310, os criminosos abusaram do serviço cron em sistemas Linux. Um arquivo malformado, batizado de “zz-poc59310-syslog.log”, foi inserido no ambiente e passou a ser acionado por rotinas agendadas. A partir disso, comandos curl ou wget eram executados para baixar e rodar um backdoor hospedado em infraestrutura controlada pelos atacantes. O nome do arquivo faz alusão direta tanto ao identificador da vulnerabilidade quanto a um proof-of-concept (PoC) desenvolvido assim que a falha veio a público, ilustrando como os invasores se apoiam rapidamente em códigos de teste disponibilizados por pesquisadores.
Segundo a análise da QUIRSO, os indícios apontam que o servidor de syslog do vCenter Server Appliance (vCSA) foi explorado para inserir arquivos em um diretório privilegiado utilizado pelo cron. Pelo menos um desses arquivos foi executado com sucesso, culminando na instalação de um backdoor chamado “linuxFile”. Uma vez implantado, o malware passa a oferecer aos atacantes capacidade de execução remota de comandos no sistema comprometido.
O “linuxFile” estabelece uma conexão via WebSocket com o servidor de comando e controle (C2), a partir da qual recebe instruções, executa comandos por meio de /bin/sh e devolve os resultados. O endereço do servidor C2 é ofuscado utilizando uma operação XOR, enquanto a troca de dados usa um esquema de criptografia próprio do malware, mesmo operando sobre uma conexão ws:// sem camada de transporte criptografada. Essa combinação aumenta a dificuldade de análise do tráfego e de detecção baseada apenas em inspeção superficial de rede.
O backdoor conta ainda com mecanismos de resiliência: caso a comunicação seja interrompida, ele tenta restabelecer o canal automaticamente, reduzindo a necessidade de intervenção manual dos operadores. Para manter persistência no sistema, o malware se integra a componentes nativos do Linux, como systemd e o próprio cron, garantindo que volte a ser executado após reinicializações ou tentativas de limpeza parciais.
O uso extensivo do cron pelos invasores não se limitou à ativação do backdoor inicial. Outras cargas maliciosas também foram distribuidas por meio de tarefas agendadas, entre elas o script “esxi.sh”, elaborado para baixar e instalar uma ferramenta de reverse SSH compatível com a arquitetura da máquina alvo. Com isso, os criminosos criaram um canal de acesso remoto estável, atravessando firewalls e controles de perímetro tradicionais, e permitindo movimentação lateral dentro do ambiente.
Para reduzir as chances de detecção por administradores e ferramentas de monitoramento, diversos cronjobs receberam nomes que imitam serviços legítimos da VMware, como “vmware-vpxd-stats-*”, “vmware-perf-collect-*” e “vmware-perf-sync-*”. Essa técnica de camuflagem é comum em ataques avançados: ao mascarar atividades maliciosas com termos familiares à equipe de TI, os invasores contam com a tendência de considerar esses processos como parte normal da operação da plataforma.
Os mesmos mecanismos foram usados para adicionar chaves SSH controladas pelos atacantes, garantindo acesso posterior sem necessidade de senha, e para instalar um web shell JSP chamado “vmware-perf-update.jsp”. Esse web shell oferecia uma interface adicional de controle remoto via HTTP, permitindo a execução de comandos, acesso a arquivos, extração de credenciais e criação de novas contas administrativas. Em um dos casos observados, a conta “adminuser” foi criada e adicionada ao grupo de administradores do vSphere SSO, expandindo os privilégios dos criminosos dentro da infraestrutura virtualizada.
A campanha também envolveu a criação de outras contas privilegiadas, como “vcadmin”, e a manipulação direta do VMware Directory Service (vmdir). Em uma técnica particularmente perigosa, os atacantes criaram o arquivo “/etc/sudoers.d/vmware-perf”, concedendo à conta de serviço “perfcharts” acesso irrestrito ao usuário root via sudo, sem exigência de senha. Esse tipo de modificação não apenas dá controle total sobre o sistema, como também costuma passar despercebido em ambientes pouco auditados.
Os scripts executados pelos hackers procuravam ainda credenciais do vmdir diretamente no sistema comprometido. Caso esse método falhasse, o código buscava módulos Python da VMware que armazenam informações associadas à conta da máquina vCenter, tentando extrair dali dados úteis para autenticação. Uma vez obtidas, essas credenciais permitiam aos invasores realizar alterações privilegiadas no diretório, incluindo mudanças em grupos administrativos, políticas de acesso e contas críticas.
Com o controle consolidado do vCenter, os responsáveis pela campanha utilizaram APIs do vSphere para mapear a infraestrutura virtual: inventário de máquinas, hosts ESXi, redes, datastores e permissões. O script “esxi.sh” foi então empregado para distribuir o cliente de reverse SSH aos hosts ESXi e para criar contas locais nesses servidores de virtualização. Esse movimento preparou o terreno para a fase final do ataque, que visava diretamente as máquinas virtuais e os dados hospedados.
No caso analisado pela QUIRSO, a cadeia de ataque culminou com a implantação de ransomware em servidores ESXi. O malware criptografou arquivos de máquinas virtuais utilizando a extensão “.babyk”, associada a variantes derivadas da família de ransomware Babuk. Essa escolha reforça uma tendência observada nos últimos anos: o foco cada vez maior em ambientes de virtualização como alvos preferenciais, já que comprometer um único host ESXi pode paralisar dezenas ou centenas de sistemas críticos ao mesmo tempo.
Ainda não está totalmente claro se os criminosos responsáveis pela implantação do ransomware são exatamente os mesmos que conduziram todas as etapas anteriores de exploração das vulnerabilidades, ou se houve venda ou repasse de acesso a outros grupos especializados em extorsão. Em muitas campanhas, o trabalho se divide: um grupo se concentra em obter o acesso inicial e a movimentação lateral, enquanto outro monetiza esse acesso, seja por meio de sequestro de dados, seja por espionagem ou destruição deliberada.
Para as organizações, o episódio reforça a importância de tratar ambientes de virtualização como ativos críticos de segurança, e não apenas como componentes de suporte à infraestrutura. Servidores vCenter e hosts ESXi costumam concentrar controles centrais de centenas de máquinas virtuais, credenciais sensíveis, integrações com diretórios corporativos e ferramentas de backup, o que os torna alvos altamente atrativos. Uma falha nesses pontos pode derrubar serviços inteiros e abrir caminho para ataques de grande impacto financeiro e operacional.
A resposta eficaz a esse tipo de ameaça passa, em primeiro lugar, pela aplicação rápida de correções de segurança assim que divulgadas pelos fabricantes. Em cenários como o da CVE-2026-59310, em que a exploração começa poucos dias após a publicação do boletim, janelas longas de atraso na atualização das plataformas criam oportunidades diretas para invasões bem-sucedidas. Manter inventários atualizados, priorizar patches em sistemas expostos à internet e estabelecer processos de gestão de vulnerabilidades são passos fundamentais.
Além dos patches, é essencial endurecer a superfície de ataque do vCenter e dos hosts ESXi: restringir o acesso administrativo a redes internas ou VPNs corporativas, adotar autenticação multifator para contas de alto privilégio, revisar permissões de contas de serviço e monitorar alterações em arquivos de configuração sensíveis, como os relacionados a sudo e cron. Logs devem ser coletados e analisados com atenção especial a criação de novos usuários, modificações em grupos administrativos, instalação de web shells e tarefas agendadas com nomes suspeitos.
Ferramentas de detecção e resposta, aliadas a políticas claras de segmentação de rede, também podem limitar o impacto de um comprometimento inicial. A capacidade de isolar rapidamente um host vCenter ou um ESXi suspeito, bem como de restaurar backups íntegros e testados, é decisiva para reduzir o tempo de indisponibilidade e o potencial de dano de um ataque de ransomware. Em paralelo, simulações periódicas de incidentes ajudam equipes de segurança e operações a reagirem com mais agilidade em situações reais.
Por fim, o caso evidencia como o ecossistema de ameaças evoluiu para explorar, de forma industrializada, vulnerabilidades em componentes de infraestrutura amplamente utilizados. Campanhas como essa, que combinam exploração de dia zero ou recém-publicada, uso de ferramentas nativas (cron, systemd, APIs do vSphere), ofuscação de infraestrutura de comando e controle e, por fim, ransomware em ambiente de virtualização, tendem a se tornar cada vez mais comuns. Organizações que dependem de VMware vCenter e ESXi precisam encarar a segurança desses sistemas como prioridade estratégica, sob pena de verem toda a sua operação digital ficar à mercê de grupos criminosos altamente organizados.