Un gruppo hacktivista allineato alla Bielorussia ha mantenuto l’accesso per quasi due anni alla rete di una organizzazione sanitaria russa, dimostrando un livello di persistenza e di furtività tipico delle operazioni di cyber spionaggio. La campagna è stata attribuita a un cluster noto come Partisan Zmiy, associato ai Cyber Partisans, attivo almeno dal 2020 e già osservato contro enti governativi e imprese industriali in Russia e Bielorussia.
Le indagini indicano che l’intrusione è stata scoperta a dicembre 2025, ma i primi segnali di compromissione risalirebbero ai primi mesi del 2024. Il vettore iniziale di accesso non è stato determinato, ma la fase più interessante riguarda il modo in cui gli attaccanti hanno nascosto il backdoor Vasilek all’interno di componenti legati a VMware Tools, sfruttando una posizione considerata affidabile ma spesso poco monitorata nei sistemi Windows.
Per ottenere persistenza, è stato osservato un servizio Windows chiamato vmauad, progettato per sembrare un componente legittimo. In pratica, gli aggressori avrebbero inserito eseguibili malevoli nella directory di VMware Tools o sostituito librerie DLL lecite con versioni alterate, ad esempio vmtools.dll, in modo da eludere controlli superficiali e ridurre la probabilità di rilevamento da parte di amministratori e strumenti di sicurezza non ottimizzati.
Il servizio avvia un binario malevolo posizionato nel percorso di VMware Tools e segue una pianificazione precisa. Tra le attività segnalate compare l’avvio di un tunnel GOST in una finestra temporale settimanale e l’esecuzione di una versione aggiornata di Vasilek dopo diverse ore dall’avvio del servizio. Una volta attivo, il malware è in grado di raccogliere informazioni sul sistema infetto, eseguire comandi Windows, avviare e terminare processi, trasferire file, catturare screenshot e registrare la digitazione. Sono presenti anche funzioni per l’escalation dei privilegi tramite runas, per impedire la sospensione del dispositivo e per aggiornarsi o rimuoversi.
Tra le novità, spicca un comando dedicato al controllo del cursore, capace di muovere il mouse e simulare input utente sullo schermo della vittima, utile sia per automazione sia per aggirare alcune verifiche basate su interazione.
La campagna evidenzia una strategia centrata più sulla sicurezza operativa che su nuove funzionalità, con tecniche come time stomping, ereditarietà del proxy di sistema, rotazione dei file sugli stessi percorsi e soppressione di messaggi in uscita. Un elemento critico è che l’uso di Telegram come canale di comando e controllo può risultare instabile in contesti dove il servizio è bloccato dagli ISP, influenzando la continuità delle comunicazioni.