概要
ドイツのセキュリティ企業QUIRSOの調査により、中国語圏の攻撃者とみられるハッカー集団がVMware vCenterの重大な脆弱性を悪用し、世界47カ国361件のIPアドレスでroot権限を奪取したうえ、一部の環境でBabuk派生のランサムウェアを展開していたことが明らかになった。悪用対象となったのは、ディレクトリトラバーサルの脆弱性であるCVE-2026-59310(CVSSスコア9.8)で、Broadcomは2026年7月29日にパッチをリリースしていた。しかし公開開示からわずか5日後には実際の攻撃キャンペーンが始まっており、パッチ適用前の環境が広範囲で悪用された形だ。あわせて認証回避の脆弱性CVE-2026-59309の悪用も8月1日時点で確認されている。
攻撃の手口
攻撃者はvCenterの脆弱性を突くことで、rootコンテキストでの即座の非対話的コード実行を獲得した。侵害は段階的に進み、まず「zz-poc59310-syslog.log」という名の不正なcronファイルを介して初期アクセスを確立し、続いてcurlやwgetで外部サーバー(5.34.177[.]38:9861)から「linuxFile」というバックドアインプラントを取得、systemdやcronを使って永続化させている。このlinuxFileインプラントはWebSocketチャネル(ws://intel.se9ly9upbhay.shop:8080/ws)を通じてC2サーバーと通信し、C2アドレスはXOR難読化された状態で保持されていた。
このほかにも、攻撃者はSSH公開鍵を追加して遠隔アクセスを確立したり、「vmware-perf-update.jsp」というJSP形式のWebシェルを設置したうえでvSphere SSO管理者グループへ不正アカウントを追加するなど、複数の手法を組み合わせて侵害を拡大させていた。最終段階では、ファイルを".babyk"拡張子で暗号化するBabuk派生のランサムウェアが展開されたケースも確認されている。QUIRSOは、このランサムウェア展開が防御側の目を本来の侵入活動からそらす「煙幕」として機能した可能性を指摘しており、単なる金銭目的の攻撃ではなく、より深い偵察や情報窃取が並行して行われていた可能性を示唆している。
攻撃者の特定と被害範囲
QUIRSOは、攻撃者作成スクリプト内に残された中国語のアーティファクトや、中国のセキュリティ研究成果の再利用とみられる痕跡、UTC+08:00タイムゾーンでの活動パターンなどを根拠に、「中程度の確信度」で中国語話者の脅威行為者による関与と評価している。被害は47カ国361件のIPアドレスに及び、国別ではドイツ(55件)、米国(41件)、トルコ(38件)、イラン(26件)、フランス(25件)の順に多かった。また8月14日には、侵害の痕跡を系統的に消去する目的とみられるツールを含むGitHubリポジトリ「pikpak0066/tmpclean」も発見されており、攻撃者が痕跡隠蔽にも注力していたことがうかがえる。
対策と今後の展望
Broadcomは7月29日の時点でCVE-2026-59310に対するパッチを既にリリースしており、未適用の環境では早急な適用が強く推奨される。パッチ公開からわずか5日で実際の悪用が始まった事実は、公開されたパッチ情報から攻撃者が脆弱性の詳細を迅速に解析し武器化する能力を持つことを改めて示している。vCenterを運用する組織は、パッチ適用だけでなく、不審なcronジョブやSSH鍵の追加、未知のWebシェルの有無など、侵害の兆候を個別に確認することが求められる。