Агентство по кибербезопасности и защите инфраструктуры США (CISA) в среду внесло уязвимость безопасности, затрагивающую Broadcom VMware ESX, в свой каталог известных эксплуатируемых уязвимостей (KEV), после того как CrowdStrike сообщило, что она была использована связанной с Китаем группировкой Warp Panda в атаках на юридический сектор США. Уязвимость, о которой идет речь, — CVE-2026-41709 (CVSS score: 2.7), — недостаточная журнализация, которая может позволить злоумышленнику с правами администратора выполнять определенные операции без регистрации. В консультативном заключении, опубликованном в июле 2026 года, Broadcom сообщила, что проблема была устранена в следующих версиях. Это произошло в ответ на отчет CrowdStrike за 2026 год «Legal Threat Landscape Report», в котором говорилось, что Warp Panda использовала CVE-2026-41709 как уязвимость нулевого дня в начале 2026 года с целью снижения видимости аудиторского следа. Warp Panda «использует внешние сетевые устройства с уязвимостями нулевого дня и пользовательским вредоносным ПО для поддержания скрытого, постоянного доступа», — говорится в отчете, предоставленном The Hacker News, с добавлением, что противник «активно обходит обнаружение, минуя аудит журналов, собирая токены сеансов облачных служб и регистрируя поддельные устройства многофакторной аутентификации (MFA)». Этот же злоумышленник, известный также как Armory Castle (ранее UNC5221), Clay Typhoon и VerdantBamboo, имеет богатую историю использования уязвимостей нулевого дня в устройствах Citrix NetScaler и Ivanti Connect Secure. Ранее в этом месяце компания Mandiant, принадлежащая Google, также связала эту хакерскую группу с эксплуатацией уязвимости нулевого дня, связанной с некорректной валидацией источника в BeyondTrust Remote Support (CVE-2026-102764, CVSS score: 9.3), для доставки семейств вредоносных программ, таких как SAWFLY и BARECLAW. Атаки, проводимые Warp Panda, включают эксплуатацию внешних сетевых устройств для получения первоначального доступа, после чего злоумышленник переходит в среды VMware vCenter для развертывания пользовательского вредоносного ПО, такого как BRICKSTORM и SharpStorm, для поддержания постоянного доступа без привлечения внимания. Некоторые вторжения также включали нацеливание на облачные сервисы с целью извлечения токенов сеансов пользователей для доступа к средам Microsoft 365 без вызова каких-либо оповещений, основанных на учетных данных. По крайней мере, в одном случае Warp Panda зарегистрировала новое устройство MFA в скомпрометированной учетной записи, чтобы обеспечить постоянный доступ, даже если пароль будет изменен. «Warp Panda представляет собой устойчивую и стратегически ориентированную кибершпионскую угрозу со стороны Китая для американских организаций в различных секторах, включая юридический», — заявили в CrowdStrike. «Концентрация клиентских коммуникаций, материалов по слияниям и поглощениям, стратегий активных судебных разбирательств и межклиентского доступа в юридическом секторе делает его высокоценной целью для государственного противника, ищущего разведывательную информацию с последующей оперативной пользой». В связи с активной эксплуатацией CVE-2026-41709 федеральным гражданским исполнительным органам рекомендуется применить исправления до 11 ноября 2026 года.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
