Un gruppo di attaccanti di lingua cinese è stato collegato a una catena di attacco avanzata contro ambienti virtualizzati VMware ESXi, con un obiettivo chiaro: ottenere il controllo dell’hypervisor partendo da una macchina virtuale. L’accesso iniziale sarebbe avvenuto tramite un appliance VPN SonicWall compromesso, usato come punto di ingresso per distribuire un toolkit capace di sfruttare vulnerabilità zero-day di VMware ESXi osservate in attacchi reali.

Il cuore della campagna è una tecnica di VM escape, cioè la capacità di uscire dall’isolamento della virtual machine e interagire con i processi dell’host. La catena di exploit sembra combinare tre falle note come CVE-2025-22224, CVE-2025-22225 e CVE-2025-22226, che consentono rispettivamente di ottenere perdite di memoria, corruzione della memoria e scritture arbitrarie utili a bypassare la sandbox. Questo tipo di concatenazione è particolarmente pericoloso perché trasforma un singolo accesso amministrativo in una VM in un controllo esteso sull’infrastruttura ESXi.

Il toolkit include un componente orchestratore chiamato exploit.exe, che coordina più moduli. Tra questi compaiono strumenti per disabilitare temporaneamente i driver VMCI lato guest e un driver kernel non firmato caricato in memoria tramite utility dedicate, con lo scopo di identificare la versione ESXi dell’host e attivare la sequenza di sfruttamento. Una volta ottenuta la possibilità di scrivere nella memoria del processo VMX, vengono iniettati più payload: shellcode di preparazione, shellcode per consolidare la presenza sull’host e una backdoor ELF a 64 bit progettata per accesso remoto persistente.

Un elemento chiave è l’uso di VSOCK, un canale di comunicazione diretto tra guest e hypervisor che può aggirare il monitoraggio di rete tradizionale. La backdoor comunica su una porta VSOCK dedicata e viene gestita da un client eseguibile dalla VM Windows, in grado di caricare e scaricare file e lanciare comandi sull’hypervisor. La distribuzione del client avviene tramite archivio ZIP con istruzioni operative, segnale di un toolkit maturo e orientato all’utilizzo ripetibile.

La combinazione tra vulnerabilità VMware ESXi, VM escape e comunicazione VSOCK evidenzia un rischio elevato per data center e infrastrutture virtualizzate, soprattutto quando l’accesso VPN è poco protetto e le patch non vengono applicate rapidamente.