Dvostruki identitet VMware Tools-a: Kako je bekdor „Vasilek“ dve godine ostao neprimećen

U savremenom pejzažu sajber-bezbednosti, napredne napredne pretnje (APT) sve češće napuštaju bučne metode poput klasičnog malvera sa jasnim tragovima na disku, prelazeći na suptilne tehnike zloupotrebe pouzdanog softvera (Living-off-the-Land). Najnoviji izveštaj ruske bezbednosne kompanije Solar otkriva fascinantan i izuzetno zabrinjavajući slučaj u kojem je hakerska grupa poznata kao Partisan Zmiy (alternativno povezana sa Cyber Partisans pokretom iz Belorusije) uspela da održi neovlašćeni, tajni pristup unutar mreže jedne velike ruske zdravstvene organizacije – skoro punih dve godine, a da pritom ne izazove nijedan prekid u radu sistema.

Centralna tačka ovog prodiranja bila je zloupotreba softverskog paketa VMware Tools, koji se standardno koristi za upravljanje virtuelnim mašinama i uživa puno poverenje administratora i bezbednosnih rešenja.

Anatomija napada: Dvogodišnja neprimetnost u zdravstvenom sektoru

Prema nalazima istraživača, incident je zvanično otkriven u decembru 2025. godine, međutim digitalni forenzički dokazi ukazuju na to da su prvi tragovi kompromitacije datirali još s početka 2024. godine. Iako identitet napadnute zdravstvene institucije nije javno saopšten, poznato je da se radilo o složenoj mrežnoj infrastrukturi sa dvosmernim poverljivim odnosima (trusted relationships) sa brojnim sekundarnim medicinskim ustanovama.

Za razliku od drugih kampanja koje se završavaju brzim uništavanjem podataka pomoću vajpera (poput zlonamernog alata Pryanik koji ova grupa takođe poseduje u svom arsenalu), u ovom slučaju primarni cilj bila je dugoročna špijunaža i prikupljanje obaveštajnih podataka. Napadači su svesno izbegavali bilo kakvu destruktivnu aktivnost kako bi sačuvali dragoceni pristup mreži koja je služila kao odskočna daska za dalje prodore ka povezanim sistemima.

Početni vektor pristupa (initial access) ostao je zvanično nezabeležen, ali je dalja eksploatacija izvedena uz maksimalno oslanjanje na postojeće resurse sistema i komponente virtuelizacije.

Tehnička analiza bekdora Vasilek (Verzija 1.5.8)

Glavni oslonac napadača u ovoj kampanji bio je napredni bekdor pod nazivom Vasilek, čija je analizirana verzija nosila oznaku 1.5.8. Reč je o 32-bitnom izvršnom alatu sa bogatim setom komandi (preko 50 različitih funkcija) dizajniranom za potpunu kontrolu nad zaraženim sistemom.

Ključne funkcionalnosti bekdora Vasilek:

Prikupljanje podataka: Detaljna eskursa o konfiguraciji i stanju zaraženog računara.

Izvršavanje komandi: Pokretanje proizvoljnih Windows komandi putem interpretatora i upravljanje procesima (pokretanje i nasilno gašenje).

Upravljanje fajlovima i mrežom: Prenos datoteka, zaobilazak mrežnih restrikcija i postavljanje tunela.

Interaktivna špijunaža: Snimanje ekrana (screenshots), evidentiranje unosa sa tastature (keylogging), pa čak i potpuno nova komanda move_cursor, koja omogućava daljinskim operaterima da simuliraju pomeranje miša i korisnički unos direktno na ekranu žrtve.

Eskalacija privilegija i perzistencija: Upotreba mehanizma runas za privilegovane operacije, sprečavanje računara da pređe u režim spavanja (sleep mode), kao i mogućnost samostalnog ažuriranja ili uklanjanja.

Za komandno-kontrolnu (C2) komunikaciju, Vasilek se primarno oslanja na Telegram Bot API, mada su usled mrežnih ograničenja i blokada Telegram protokola od strane pojedinih provajdera korišćeni i alternativni kanali poput DNSCat2 i specijalno podešenih GOST tunela (koji su, primjera radi, uspostavljani svake subote u tačno utvrđenom vremenskom prozoru od 22:00 do 23:00 časa).

Zloupotreba VMware Tools okruženja za perzistenciju

Jedan od najkreativnijih i ujedno najopasnijih aspekata ovog napada jeste način na koji su napadači obezbedili trajnost prisustva na sistemu (persistence), koristeći dobro poznatu putanju:C:\Program Files\VMware\VMware Tools\

Zlonamerni akteri su iskoristili činjenicu da se direktorijumi VMware alata na Windows operativnim sistemima retko nadgledaju od strane standardnih skenera integriteta i da im se automatski veruje. Konkretno:

Zamena biblioteka: Legitimna VMware biblioteka je preimenovana, dok je na njeno mesto postavljena zlonamerna verzija fajla vmtools.dll koja je služila za učitavanje bekdora.

Lažni servisi (Masquerading): Kreiran je poseban servis-loader pod nazivom vmauad (prikazan u sistemu pod lažnim nazivom „VMware Auth Adapter“ ili „Access FT Imager Service“), čija je uloga bila da pokreće prateće binarne fajlove u tačno definisanim vremenskim intervalima (na primer, pokretanje Vasilek bekdora tačno osam sati nakon pokretanja servisa).

Manipulacija vremenskim oznakama (Time-stomping): Svi modifikovani fajlovi i kreirani izvršni moduli imali su veštački izmenjene vremenske žigove kako bi se stopili sa originalnim datumima instalacije VMware softvera i zavarali administratore tokom manuelne inspekcije.

Pored toga, napadači su redovno koristili sistemski uslužni program Evlx za sistematsko brisanje Windows event logova, čime su efektivno brisali tragove svojih interakcija i sprečavali rano otkrivanje od strane lokalnih timova za reagovanje na incidente (SOC).

Operativna sigurnost (OpSec) i širi kontekst

Analiza napadačke grupe Partisan Zmiy pokazuje da su ovi akteri daleko više investirali u operativnu sigurnost, stealth mehanizme i tiho kretanje nego u razvoj novih destruktivnih payload-ova:

Dosledno vezivanje imena hostova u nezavisnim komponentama,

Rotiranje fajlova kroz iste putanje radi sakrivanja tragova,

Nasleđivanje sistemskih proksi podešavanja,

Supresija odlaznih poruka i pažljivo upravljanje chat sesijama operatora.

Ovaj incident oslikava širi trend u modernom sajber-kriminalu i špijunaži. Dok Endpoint Detection and Response (EDR) rešenja postaju sve efikasnija u detekciji klasičnog malvera na standardnim korisničkim putanjama, napadači se sve više okreću infrastrukturi hipervizora, virtuelnim alatima, mrežnim uređajima i virtuelnim mašinama, gde su resursi manje nadgledani, a alati za virtuelizaciju podrazumevano imaju visoke privilegije nad celim sistemom.

Preporuke za sistem administratore i bezbednosne timove

S obzirom na prirodu ove tehnike, standardne skenere slabosti često zaobilaze ovakve pretnje jer se oslanjaju na prisustvo poznatih potpisa u sistemskim direktorijumima. Stručnjaci preporučuju sledeće mere prevencije i detekcije:

Integritet fajlova (FIM – File Integrity Monitoring): Redovno pokrenite proveru digitalnih potpisa i heš vrednosti za sve datoteke unutar C:\Program Files\VMware\VMware Tools\ direktorijuma. Nijedan zvaničan fajl iz VMware Tools paketa ne sme imati nepoznati potpis ili izmenjenu strukturu.

Nadzor nad servisima: Detaljno pregledajte listu instaliranih Windows servisa (services.msc), obraćajući pažnju na sumnjiva imena, neuobičajene putanje izvršnih fajlova (binarnih putanja) i servise koji oponašaju legitimne sistemske komponente.

Mrežna segmentacija i filtriranje: Ograničite mrežni saobraćaj sa procesa unutar VMware Tools-a. Softver za virtuelizaciju na gostujućim operativnim sistemima retko ima potrebu za direktnom komunikacijom sa spoljnim API servisima poput Telegrama ili nepoznatim eksternim IP adresama.

Provera logova i revizija: Pratite anomalije u izvršavanju komandi iz procesa vezanih za vmtoolsd.exe. Svako pokretanje interpretera komandi (cmd.exe, powershell.exe) iz konteksta VMware servisa predstavlja jasan indikator kompromitacije (IoC).

Zaključak

Slučaj pronalaska bekdora Vasilek unutar VMware Tools instalacije predstavlja ozbiljnu opomenu za sve administratore enterprise i kritičnih IT infrastruktura. Poverenje koje se slepo poklanja alatima za virtuelizaciju i pratećim drajverima sada je direktno poljuljano. Zaštita modernih data centara više se ne može oslanjati samo na spoljne perimetre; neophodan je strog interni nadzor integriteta softvera, kontinuirana revizija privilegija i napredna behavioralna analiza koja može da prepozna zloupotrebu legitimnih administrativnih kanala pre nego što pretnja postane neprimetna dvogodišnja realnost.