Kẻ tấn công cài backdoor Vasilek vào VMware Tools trong vụ xâm nhập kéo dài
"A Belarus-aligned hacktivist group (Partisan Zmiy/Cyber Partisans) maintained access to a Russian healthcare organization for nearly two years. They utilized the Vasilek backdoor (v1.5.8) hidden within VMware Tools, specifically by replacing 'vmtools.dll', to collect information, execute commands, and exfiltrate data via Telegram. The attackers also employed other malware like HypeAgent and leveraged techniques to evade detection, including file manipulation and scheduled execution."
Vụ việc cho thấy backdoor có thể ẩn mình trong các phần mềm phổ biến như VMware Tools, gây ra rủi ro xâm nhập hệ thống kéo dài.
Các tổ chức y tế có thể bị tổn thất dữ liệu và gián đoạn hoạt động do mất quyền kiểm soát hệ thống. Việc khắc phục hậu quả có thể tốn kém và ảnh hưởng đến uy tín.
Nhóm hacktivist Belarus (Partisan Zmiy/Cyber Partisans) đã duy trì quyền truy cập vào một tổ chức y tế Nga gần hai năm. Họ sử dụng backdoor Vasilek (phiên bản 1.5.8) ẩn trong VMware Tools, cụ thể bằng cách thay thế 'vmtools.dll', để thu thập thông tin, thực thi lệnh và đánh cắp dữ liệu qua Telegram.
Đây là cách các đối tượng tấn công có thể xâm nhập vào hệ thống mà không bị phát hiện, đặc biệt là các tổ chức sử dụng VMware Tools. Việc này cho thấy tầm quan trọng của việc kiểm tra tính toàn vẹn của các file hệ thống và cập nhật phần mềm thường xuyên.
Solar, một công ty bảo mật Nga, phát hiện vụ việc vào tháng 12/2025, nhưng dấu hiệu xâm nhập sớm nhất từ đầu năm 2024. Kẻ tấn công cũng sử dụng các phần mềm độc hại khác như HypeAgent và kỹ thuật che giấu, bao gồm thao túng file và lên lịch thực thi. Họ thay thế 'vmtools.dll' bằng phiên bản độc hại chứa backdoor Vasilek.
Vasilek có thể thu thập thông tin hệ thống, thực thi lệnh Windows, quản lý tiến trình, truyền file, chụp ảnh màn hình, ghi lại thao tác bàn phím và tăng quyền truy cập. Phiên bản mới nhất có thêm lệnh 'move_cursor' để điều khiển con trỏ và mô phỏng thao tác người dùng. Nhóm này tập trung vào che giấu hoạt động hơn là phát triển tính năng mới.
Ngoài ra, Solar cũng phát hiện một chiến dịch phishing sử dụng file JavaScript giả mạo tài liệu kinh doanh để phân phối HypeAgent, một trojan có khả năng kiểm soát hoàn toàn hệ thống và đánh cắp thông tin đăng nhập từ nhiều ứng dụng phổ biến.
Các tổ chức Việt Nam sử dụng VMware Tools cần kiểm tra kỹ các file hệ thống và đảm bảo cập nhật phần mềm mới nhất để tránh trở thành nạn nhân tương tự.
Câu hỏi thường gặp
Vasilek backdoor là gì?
Vasilek là một backdoor được nhóm Cyber Partisans sử dụng để thu thập thông tin, thực thi lệnh và đánh cắp dữ liệu từ hệ thống bị xâm nhập. Nó được ẩn trong VMware Tools, một phần mềm quản lý máy ảo.
Kẻ tấn công đã xâm nhập vào hệ thống trong bao lâu?
Nhóm hacktivist đã duy trì quyền truy cập vào hệ thống của tổ chức y tế Nga trong gần hai năm, từ đầu năm 2024 đến tháng 12/2025.
HypeAgent là gì?
HypeAgent là một trojan được sử dụng trong chiến dịch phishing, có khả năng kiểm soát hoàn toàn hệ thống bị nhiễm, đánh cắp thông tin đăng nhập và thậm chí cài đặt trình khai thác tiền điện tử.
Góc nhìn của Orange Cloud
Theo chúng tôi, vụ việc này cho thấy các nhóm hacktivist có thể lợi dụng các công cụ quản lý hệ thống phổ biến như VMware Tools để xâm nhập và duy trì quyền truy cập lâu dài. Các doanh nghiệp Việt Nam, đặc biệt là trong lĩnh vực y tế, cần tăng cường giám sát hệ thống và triển khai các biện pháp bảo mật chủ động. Điều đáng chú ý là việc kiểm tra tính toàn vẹn của file hệ thống và cập nhật phần mềm thường xuyên là rất quan trọng để ngăn chặn các cuộc tấn công tương tự.