Связанная с Китаем группировка Warp Panda скрывала свои действия через уязвимость нулевого дня в VMware ESX

Агентство по кибербезопасности и защите инфраструктуры США (CISA) в среду внесло уязвимость в Broadcom VMware ESX в каталог известных эксплуатируемых уязвимостей (KEV). Поводом стал отчёт CrowdStrike: по её данным, брешью воспользовалась связанная с Китаем группировка Warp Panda в атаках на юридический сектор США.

Уязвимость получила идентификатор CVE-2026-41709 и оценку CVSS всего 2,7. Речь идёт о недостаточном журналировании: злоумышленник с правами администратора может выполнять некоторые операции так, что они не попадают в логи. Broadcom выпустила исправления ещё в июле 2026 года. Они вошли в обновления VMware Cloud Foundation (включая версию 5.2.4), VMware vSphere Foundation, VMware ESX и VMware Telco Cloud Platform.

Уязвимость нулевого дня для сокрытия следов

Согласно отчёту CrowdStrike 2026 Legal Threat Landscape Report, в начале 2026 года Warp Panda эксплуатировала CVE-2026-41709 как уязвимость нулевого дня. Цель была в том, чтобы сократить видимость действий в журналах аудита. По словам исследователей, группировка проникает в периметровые устройства, доступные из интернета, с помощью уязвимостей нулевого дня и собственного вредоносного ПО и затем сохраняет скрытый постоянный доступ. Чтобы избежать обнаружения, она обходит журналирование аудита, похищает облачные сессионные токены и регистрирует подставные устройства для многофакторной аутентификации.

Группировку также отслеживают под названиями Armory Castle (ранее UNC5221), Clay Typhoon и VerdantBamboo. За ней длинный список эксплуатации уязвимостей нулевого дня в устройствах Citrix NetScaler и Ivanti Connect Secure. В начале октября Mandiant, принадлежащая Google, связала с ней атаки через критическую уязвимость в BeyondTrust Remote Support (CVE-2026-102764, CVSS 9,3). Через неё доставлялись вредоносные программы SAWFLY и BARECLAW.

Схема атак

Получив первоначальный доступ через периметровые устройства, Warp Panda переходит в среды VMware vCenter. Там она разворачивает собственные инструменты BRICKSTORM и SharpStorm, чтобы незаметно закрепиться. В ряде случаев атакующие также добирались до облачных сервисов и извлекали сессионные токены пользователей. С их помощью они входили в среды Microsoft 365, не вызывая предупреждений, связанных с учётными данными. Как минимум однажды группировка зарегистрировала на скомпрометированной учётной записи новое MFA-устройство, чтобы сохранить доступ даже после смены пароля.

В CrowdStrike называют Warp Panda устойчивой и стратегически нацеленной угрозой кибершпионажа для американских организаций из разных отраслей. Юридические фирмы, по мнению компании, особенно привлекательны для государственного противника. В них сосредоточены переписка с клиентами, материалы о слияниях и поглощениях, стратегии по текущим судебным делам и доступ к данным многих клиентов сразу.

Из-за активной эксплуатации CVE-2026-41709 федеральным гражданским ведомствам США (FCEB) рекомендовано установить исправления до 11 ноября 2026 года.

Источник: The Hacker News