Китайская хакерская группировка WARP PANDA использовала неизвестную на тот момент уязвимость VMware ESXi, чтобы скрывать свои действия от систем мониторинга. Ошибка получила всего 2,7 балла опасности, но помогала злоумышленникам незаметно закрепляться в корпоративных сетях.
Специалисты CrowdStrike установили, что группировка эксплуатировала CVE-2026-41709 как уязвимость нулевого дня минимум до начала 2026 года. Проблема затрагивала механизм регистрации команд в гипервизоре VMware ESX. Получив административный доступ, атакующие могли выполнять отдельные операции без соответствующих записей в системных журналах.
Особенность уязвимости заключалась в необычно низкой оценке опасности. Broadcom присвоила CVE-2026-41709 всего 2,7 балла по шкале CVSS, поскольку эксплуатация требовала уже имеющихся административных привилегий. Однако для кибершпионов возможность скрывать активность представляла особую ценность, поскольку затрудняла обнаружение взлома и последующее расследование.
WARP PANDA, также известная как ARMORY CASTLE и UNC5221, специализируется на проникновении в корпоративную инфраструктуру. Злоумышленники атакуют доступные из интернета сетевые устройства, после чего перемещаются к серверам VMware vCenter. Для сохранения доступа группировка применяет специализированное вредоносное ПО, включая BRICKSTORM и SharpStorm.
Исследователи также зафиксировали атаки на облачные сервисы. Хакеры похищали токены пользовательских сеансов, позволяющие обращаться к Microsoft 365 без повторного ввода пароля. В одном случае злоумышленники зарегистрировали дополнительное устройство многофакторной аутентификации в скомпрометированной учётной записи, сохранив возможность входа даже после смены пароля.
Особое внимание WARP PANDA уделяла американским юридическим компаниям. Подобные организации хранят конфиденциальную переписку, сведения о сделках, судебных разбирательствах и интеллектуальной собственности клиентов. По оценке CrowdStrike, доступ к подобной информации представляет интерес для разведывательных операций, связанных с Китаем.
Broadcom выпустила исправления 29 июля 2026 года. Обновления затронули VMware ESX 8.0, VMware Cloud Foundation, vSphere Foundation и Telco Cloud Platform. Временного обходного решения разработчик не предложил. 28 октября американское агентство CISA включило уязвимость в каталог активно эксплуатируемых ошибок KEV.
Государственные учреждения США обязаны установить исправления до 11 ноября 2026 года. В опубликованном исследовании CrowdStrike также говорится, что число вторжений в юридическом секторе почти удвоилось относительно 2023 года. При этом на финансово мотивированных злоумышленников пришлось 82% зафиксированной вредоносной активности.
Ранее китайские кибершпионы уже применяли уязвимости VMware для скрытого проникновения в виртуальную инфраструктуру. Новая история показывает другую сторону угрозы. Даже ошибка с минимальной оценкой CVSS способна принести атакующим пользу, если позволяет скрывать следы компрометации от администраторов и средств защиты.
