Angreifer mit mutmaßlichem China-Bezug nutzen VMware-vCenter-Lücke für Angriffe und verteilen Babuk-abgeleitete Ransomware

QUIRSO bewertet mit mittlerer Zuversicht, dass die Kampagne gegen CVE-2026-59310 von einem chinesischsprachigen Bedrohungsakteur betrieben wird, der vermutlich in der Zeitzone UTC+08:00 arbeitet. Zur Begründung nennen die Forscher Maike Orlikowski, Çağatay Yürekli und Denis Szadkowski die Häufung chinesischsprachiger Artefakte in von Angreifern erstellten Skripten, die augenscheinliche Wiederverwendung von Forschung aus einer chinesischen Sicherheitsveröffentlichung, den wiederholten Einsatz chinesischsprachiger Werkzeuge und Verwaltungssoftware, eine Opferauswahl ohne Festlandchina sowie Aktivitätsmuster, die mit Arbeitszeiten in UTC+08:00 vereinbar sind.

Auf einem von QUIRSO analysierten kompromittierten vCenter Server Appliance fanden sich Hinweise auf Angriffe über zwei Schwachstellen: CVE-2026-59310 und CVE-2026-59309, eine Umgehung der Authentifizierung, für die ebenfalls aktive Scan-Aktivitäten beobachtet wurden. Nach Angaben von QUIRSO reichen die Belege für eine bösartige Aktivität im Zusammenhang mit CVE-2026-59309 bis zum 1. August 2026 zurück. Danach wurde auf vCenter ein Administratorkonto angelegt.

Für die Anlage dieses neuen Kontos wurden laut Untersuchung jedoch keine Anmeldungen des legitimen Administratorkontos beobachtet, mit dem es erstellt wurde. Die Kontoerstellung ging von der IP-Adresse 146.59.252[.]178 aus. Zudem erfolgte am 3. August eine Erkundung von vSphere über die REST-API mit User-Agent-Zeichenfolgen wie „GoodMoodle-VCFleet/1.0“, offenbar um die Aktivität als VMware-bezogen erscheinen zu lassen. QUIRSO betont zugleich, dass sich diese Aktivität nicht mit der separaten Angriffskette überschneidet, die am selben System ab dem 3. August CVE-2026-59310 missbrauchte. Auch das neu angelegte Administratorkonto „vcenter_admin“ wurde in späteren Phasen des Angriffs nicht verwendet.

Bei der Ausnutzung von CVE-2026-59310 registrierte der Cron-Daemon zunächst eine fehlerhaft formatierte Cron-Datei mit dem Namen „zz-poc59310-syslog.log“. Anschließend wurde per curl, alternativ wget, eine Hintertür von 5.34.177[.]38:9861 heruntergeladen, ausgeführt und danach die Logdatei gelöscht. Der Dateiname verweist nach Einschätzung von QUIRSO direkt auf die CVE-Kennung und darauf, dass es sich um einen Proof of Concept handelte, der nach der Veröffentlichung der Schwachstellendetails erstellt wurde.

QUIRSO erklärte, die Endung „-syslog.log“ spiegele zwar die Benennung entfernter Syslog-Dateien der vCenter Server Appliance wider, die Datei sei jedoch unter /etc/cron.d statt im konfigurierten Syslog-Ausgabeverzeichnis aufgetaucht. Das deute darauf hin, dass der Syslog-Server der vCenter Server Appliance missbraucht wurde, um Dateien an einem privilegierten Ausführungsort abzulegen. Einige Dateien seien fehlerhaft gewesen und von cron nicht ausgeführt worden, mindestens eine Datei habe jedoch erfolgreich die Hintertür „linuxFile“ auf dem System platziert.

Das Implantat „linuxFile“ ermöglicht laut QUIRSO die ferngesteuerte Ausführung von Befehlen. Es baut über einen WebSocket-Kanal eine Verbindung zu seinem Steuerungsserver auf, nimmt Anweisungen entgegen, führt sie über /bin/sh aus und sendet die Ergebnisse zurück. Szadkowski sagte gegenüber The Hacker News, die Adresse des Kommando-und-Kontroll-Servers werde per XOR verschleiert und erst zur Laufzeit entschlüsselt. Die Kommunikation sei zudem durch eine eigene Kryptografie der Schadsoftware auf Anwendungsebene geschützt, obwohl der Transport über unverschlüsseltes ws:// erfolge. Die Hintertür verbinde sich nach Verbindungsabbrüchen automatisch neu und enthalte Routinen zur Persistenz über systemd und cron.

Cron spielte auch in weiteren Phasen eine zentrale Rolle. So luden Angreifer ein Shell-Skript namens „esxi.sh“ von 185.144.28[.]120:3232 nach und führten es aus. Das Skript fungierte als Downloader und Persistenz-Installer für eine architekturspezifische Reverse-SSH-Binärdatei namens „reverse_ssh“, die von derselben Infrastruktur bezogen wurde. Weitere Cron-Jobs dienten dazu, Staging-Verzeichnisse anzulegen, ausführbare Dateien herunterzuladen, ihre Rechte zu ändern und sie zu starten. Dabei verwiesen sie auf die Server 192.255.141[.]13:8080 und 5.34.176[.]100:5244. Letzterer legte nach Angaben von QUIRSO das Werkzeugpaket mit den Reverse-SSH-Binärdateien über ein AList-Verzeichnislisting offen.

Am Ende ebnete der Angriff die Bereitstellung einer Ransomware auf ESXi-Hosts, die Dateien mit der Endung „.babyk“ verschlüsselt, einer typischen Kennung von Babuk-abgeleiteter Ransomware. QUIRSO zufolge ist unklar, ob dies das eigentliche Ziel der Kampagne war oder ob die Nutzlast opportunistisch oder gezielt eingesetzt wurde, um die Zuschreibung zu erschweren. Das Unternehmen teilte mit, es könne derzeit nicht bewerten, ob die Ransomware auch auf anderen kompromittierten Systemen ausgebracht wurde, da sich die Analyse auf nur ein infiziertes System beschränkte. Nach bisherigem Ermittlungsstand hält QUIRSO es für wahrscheinlich, dass die Ransomware nicht das primäre Ziel der Kampagne war. Szadkowski verglich ihren Einsatz mit einem Täuschungsmanöver, das Verteidiger ablenken und durch die Verschlüsselung von ESXi-Logdateien die Analyse erschweren sollte.

Die Forscher heben hervor, dass die Ausnutzung von CVE-2026-59310 dem Akteur eine unmittelbare, nicht interaktive Codeausführung mit Root-Rechten auf der vCenter Server Appliance verschaffte. Dadurch seien die von CROND protokollierten Folgekommandos bereits mit Root-Rechten ausgeführt worden, ohne dass zunächst ein lokales Konto mit geringeren Rechten kompromittiert und anschließend eine Rechteausweitung nötig gewesen wäre.