चीन से जुड़े हैकर्स ने ऑडिट ट्रेल दृश्यता कम करने के लिए VMware ESX जीरो-डे का फायदा उठाया

red padlock on black computer keyboard — FlyD / Unsplash

चीन से जुड़े एक खतरे वाले कर्ता Warp Panda ने अमेरिका के कानूनी क्षेत्र को निशाना बनाने वाले हमलों में Broadcom VMware ESX की एक सुरक्षा खामी का उपयोग किया है। इस घटना के बाद, अमेरिका की साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी CISA ने बुधवार को इस खामी को अपने ज्ञात शोषण वाली कमजोरियों के कैटलॉग में जोड़ दिया।

यह सुरक्षा खामी CVE-2026-41709 है, जिसका CVSS स्कोर 2.7 है। यह अपर्याप्त लॉगिंग का एक मामला है, जो व्यवस्थापक पहुंच रखने वाले किसी दुर्भावनापूर्ण कर्ता को बिना लॉग किए कुछ संचालन करने की अनुमति दे सकता है। CrowdStrike की 2026 कानूनी खतरा परिदृश्य रिपोर्ट के अनुसार, Warp Panda ने ऑडिट ट्रेल की दृश्यता को कम करने के उद्देश्य से 2026 की शुरुआत में इसे जीरो-डे के रूप में इस्तेमाल किया था।

Broadcom ने जुलाई 2026 में जारी एक सलाहकार में बताया कि इस समस्या को विशिष्ट संस्करणों में ठीक कर दिया गया है। संघीय नागरिक कार्यकारी शाखा की एजेंसियों को 11 नवंबर, 2026 तक इन सुधारों को लागू करने की सिफारिश की गई है।

Warp Panda, जिसे Armory Castle, Clay Typhoon और VerdantBamboo के रूप में भी ट्रैक किया जाता है, गुप्त और निरंतर पहुंच बनाए रखने के लिए कस्टम मैलवेयर और जीरो-डे कमजोरियों का उपयोग करता है। यह समूह ऑडिट लॉगिंग को दरकिनार करके, क्लाउड सत्र टोकन एकत्र करके और फर्जी बहु-कारक प्रमाणीकरण उपकरणों को पंजीकृत करके पहचान से बचता है। इस समूह ने पहले Citrix NetScaler और Ivanti Connect Secure उपकरणों में जीरो-डे कमजोरियों का भी उपयोग किया है।

हाल ही में, Mandiant ने इस समूह को BeyondTrust Remote Support में एक गंभीर खामी CVE-2026-102764 के शोषण के लिए जिम्मेदार ठहराया है, जिसका उपयोग SAWFLY और BARECLAW जैसे मैलवेयर वितरित करने के लिए किया गया था। Warp Panda के हमलों में प्रारंभिक पहुंच प्राप्त करने के लिए इंटरनेट का सामना करने वाले एज उपकरणों का शोषण शामिल है, जिसके बाद यह VMware vCenter वातावरण में BRICKSTORM और SharpStorm जैसे कस्टम मैलवेयर तैनात करता है। कुछ घुसपैठों में Microsoft 365 वातावरण तक पहुंचने के लिए क्लाउड सेवाओं को निशाना बनाया गया है।