中国背景黑客利用VMware ESXi零日漏洞实现虚拟机逃逸
网络安全公司Huntress观察到，讲中文的威胁行为者疑似利用一个已被入侵的SonicWall VPN设备作为初始攻击载体，部署了一个可能早在2024年2月就开发出来的VMware ESXi漏洞利用程序。该公司在2025年12月观察到此活动，并在其发展到最后阶段之前将其阻止，称其可能导致勒索软件攻击。
最值得注意的是，此次攻击据信利用了博通在2025年3月作为零日漏洞披露的三个VMware漏洞：CVE-2025-22224（CVSS评分：9.3）、CVE-2025-22225（CVSS评分：8.2）和CVE-2025-22226（CVSS评分：7.1）。成功利用此问题可能允许拥有管理员权限的恶意行为者从虚拟机可执行文件进程泄漏内存或作为VMX进程执行代码。
同月，美国网络安全和基础设施安全局将该漏洞添加到已知被利用漏洞目录中，理由是存在主动利用的证据。
“分析发现，该工具包在其开发路径中还包含简体中文字符串，包括一个名为‘全版本逃逸–交付’的文件夹，并且有证据表明它可能在VMware公开披露前一年就被构建为零日漏洞利用程序，这表明开发者资源充足，很可能在讲中文的地区活动。“研究人员Anna Pham和Matt Anderson说。
该公司补充说，关于该工具包利用了这三个VMware弱点的评估，是基于该漏洞利用程序的行为、其使用主机-客户机文件系统进行信息泄露、使用虚拟机通信接口进行内存破坏，以及逃逸到内核的shellcode。
该工具包包含多个组件，其中最主要的是"exploit.exe”，它作为整个虚拟机逃逸过程的协调器，利用以下嵌入式二进制文件：
devcon.exe：用于禁用VMware客户端的VMCI驱动程序。MyDriver.sys：一个未签名的内核驱动程序，包含漏洞利用代码，使用名为KDU的开源工具加载到内核内存中，之后监控漏洞利用状态并重新启用VMCI驱动程序。
该驱动程序的主要职责是识别主机上运行的确切ESXi版本，并触发针对CVE-2025-22226和CVE-2025-22224的漏洞利用，最终允许攻击者将三个有效负载直接写入VMX内存：
- 第一阶段shellcode：为VMX沙箱逃逸准备环境。
- 第二阶段shellcode：在ESXi主机上建立立足点。
- VSOCKpuppet：一个64位ELF后门，为ESXi主机提供持久的远程访问，并通过VSOCK端口10000进行通信。
“写入有效负载后，漏洞利用程序会覆盖VMX内部的一个函数指针，“Huntress解释说。“它首先保存原始指针值，然后用shellcode的地址覆盖它。随后，漏洞利用程序向主机发送一条VMCI消息以触发VMX。”
“当VMX处理该消息时，它会遵循被破坏的指针，跳转到攻击者的shellcode而不是合法的代码。这最后阶段对应CVE-2025-22225，VMware将其描述为一个允许’逃离沙箱’的’任意写入漏洞’。”
由于VSOCK提供了客户虚拟机与管理程序之间的直接通信路径，威胁行为者被发现使用了"client.exe”，它可以从受感染主机上的任何Windows客户虚拟机中使用，向受感染的ESXi发送命令并与后门程序交互。嵌入在该二进制文件中的PDB路径显示它可能是在2023年11月开发的。
目前尚不清楚该工具包的幕后黑手是谁，但结合简体中文的使用、攻击链的复杂性以及在公开披露前数月滥用零日漏洞的情况，Huntress推测这很可能指向一个资源充足、在讲中文地区活动的开发者。
该公司补充说：“这次入侵展示了一个旨在逃离虚拟机隔离并破坏底层ESXi管理程序的复杂、多阶段攻击链。通过将信息泄露、内存破坏和沙箱逃逸串联起来，威胁行为者实现了每个虚拟机管理员都害怕的情况：从客户虚拟机内部完全控制管理程序。”
“使用VSOCK进行后门通信尤其令人担忧，因为它完全绕过了传统的网络监控，使得检测难度大大增加。该工具包还优先考虑隐蔽性而非持久性。”
Pham告诉The Hacker News，没有证据表明该工具包在暗网论坛上被宣传或出售，并补充说它是以有针对性的方式部署的。
“观察到的部署具有针对性，这表明该工具包可能是选择性地分发给经过审查的买家，而不是广泛商业化，这与高端攻击工具的做法一致，操作者倾向于避免其广泛传播以防止检测签名被开发出来。”