Суть угрозы: невидимые действия в ESXi
Группировка WARP PANDA (также известная как ARMORY CASTLE и UNC5221) эксплуатировала уязвимость нулевого дня в гипервизоре VMware ESXi минимум до начала 2026 года. Ошибка CVE-2026-41709 позволяла злоумышленникам, уже имеющим административный доступ, выполнять операции без создания записей в системных журналах. Это делало обнаружение взлома и последующее расследование практически невозможными для стандартных средств мониторинга.
Почему CVSS 2,7 обманчив
Бренд Broadcom присвоил уязвимости крайне низкую оценку опасности — 2,7 балла по шкале CVSS. Это связано с тем, что для эксплуатации требовались предварительные административные привилегии. Однако для кибершпионов возможность «стереть» следы своей активности в инфраструктуре оказалась ценнее прямого ущерба. Низкий рейтинг отпугнул многих администраторов от срочного патчинга, что и использовали хакеры.
Тактика атак: от vCenter к Microsoft 365
WARP PANA специализируется на проникновении в корпоративные сети через уязвимые сетевые устройства, доступные из интернета, с последующим перемещением к серверам VMware vCenter. Для закрепления используются вредоносные программы BRICKSTORM и SharpStorm. Исследователи CrowdStrike также зафиксировали кражу токенов сеансов Microsoft 365, что позволяло обходить многофакторную аутентификацию. В одном из случаев злоумышленники добавили новое устройство MFA, сохранив доступ даже после смены пароля жертвой.
Цели и масштаб
Особый интерес группировки представляют американские юридические компании, хранящие конфиденциальные данные клиентов, интеллектуальную собственность и материалы судебных разбирательств. По оценке CrowdStrike, число вторжений в юридический сектор почти удвоилось по сравнению с 2023 годом. При этом 82% всей зафиксированной вредоносной активности в этом секторе приходится на финансово мотивированных злоумышленников, использующих методы WARP PANDA.
Статус исправлений и рекомендации
Broadcom выпустила исправления 29 июля 2026 года для VMware ESXi 8.0, VMware Cloud Foundation, vSphere Foundation и Telco Cloud Platform. Временных обходных решений не предложено. 28 октября 2026 года агентство CISA включило уязвимость в каталог активно эксплуатируемых ошибок (KEV). Государственным учреждениям США предписано установить патчи до 11 ноября 2026 года. Организациям рекомендуется немедленно проверить логи на аномалии и обновить гипервизоры.
Источник: Securitylab ↗