La campaña contra VMware vCenter escala hasta ESXi con ransomware derivado de Babuk

QUIRSO publicó una ampliación técnica de la campaña que explota CVE-2026-59310 en VMware vCenter. El análisis conecta la ejecución remota como root con persistencia mediante cron, puertas traseras, cuentas administrativas de vSphere SSO y acceso a los hosts ESXi.

La firma atribuye la operación con confianza moderada a un actor de habla china, basándose en artefactos lingüísticos, herramientas utilizadas, victimología y horarios de actividad compatibles con UTC+8. Esta valoración no equivale a una atribución definitiva.

La intrusión observada utilizó la vulnerabilidad de traversal del servicio Syslog para ejecutar comandos con privilegios de root. Después desplegó el implante linuxFile, canales reverse SSH, web shells y mecanismos para extraer credenciales del servicio de directorio de VMware.

El actor creó identidades privilegiadas, realizó descubrimiento mediante la API de vSphere y preparó acceso a ESXi. En al menos el sistema investigado se desplegó un cifrador que añade la extensión .babyk, asociado a código derivado de Babuk. QUIRSO no pudo determinar si el ransomware se desplegó en todas las víctimas ni si el cifrado era el objetivo principal.

vCenter concentra control sobre la infraestructura virtual. Un compromiso con privilegios de root puede facilitar la toma de cuentas administrativas, la manipulación de máquinas virtuales, el acceso a hosts ESXi y la destrucción o cifrado de cargas críticas.

Aplicar el parche reduce la exposición futura, pero no elimina persistencia ya instalada. Los sistemas expuestos durante la ventana de ataque deben tratarse como potencialmente comprometidos y someterse a respuesta a incidentes.

Las organizaciones deben actualizar vCenter a una versión corregida y revisar retrospectivamente la telemetría desde la divulgación de la vulnerabilidad. La ausencia de alertas no basta para descartar compromiso si el servidor estuvo accesible desde redes no confiables.