Hackers chinos explotaron un zero-day en VMware ESXi para borrar sus huellas de los registros

El grupo de hackers chino WARP PANDA aprovechó una vulnerabilidad de VMware ESXi que en ese momento era desconocida para ocultar sus acciones frente a los sistemas de supervisión. El fallo recibió solo 2,7 puntos de severidad, pero ayudó a los atacantes a asentarse en redes corporativas sin ser detectados.

Los especialistas de CrowdStrike determinaron que el grupo explotó CVE-2026-41709 como vulnerabilidad de día cero al menos hasta principios de 2026. El problema afectaba el mecanismo de registro de comandos en el hipervisor VMware ESX. Tras obtener acceso administrativo, los atacantes podían ejecutar ciertas operaciones sin las entradas correspondientes en los registros del sistema.

La particularidad de la vulnerabilidad residía en su evaluación de severidad inusualmente baja. Broadcom asignó a CVE-2026-41709 solo 2,7 puntos en la escala CVSS, ya que su explotación requería privilegios administrativos ya existentes. No obstante, para los ciberespías la capacidad de ocultar la actividad era de especial valor, porque dificultaba la detección de la intrusión y la investigación posterior.

WARP PANDA, también conocida como ARMORY CASTLE y UNC5221, se especializa en infiltrarse en infraestructuras corporativas. Los atacantes comprometen dispositivos de red accesibles desde internet y luego se desplazan hacia los servidores VMware vCenter. Para mantener el acceso, el grupo emplea malware especializado, incluidos BRICKSTORM y SharpStorm.

Los investigadores también registraron ataques a servicios en la nube. Los hackers robaban tokens de sesión de usuarios que permitían acceder a Microsoft 365 sin volver a introducir la contraseña. En un caso, los atacantes registraron un dispositivo adicional de autenticación multifactor en una cuenta comprometida, manteniendo la capacidad de iniciar sesión incluso después de cambiar la contraseña.

WARP PANDA prestó especial atención a bufetes de abogados estadounidenses. Ese tipo de organizaciones guarda correspondencia confidencial, información sobre acuerdos, litigios y la propiedad intelectual de sus clientes. Según la estimación de CrowdStrike, el acceso a ese tipo de información es de interés para operaciones de inteligencia relacionadas con China.

Broadcom publicó correcciones el 29 de julio de 2026. Las actualizaciones afectaron a VMware ESX 8.0, VMware Cloud Foundation, vSphere Foundation y Telco Cloud Platform. El desarrollador no ofreció una solución temporal. El 28 de octubre la agencia estadounidense CISA incluyó la vulnerabilidad en el catálogo KEV de vulnerabilidades activamente explotadas.

Las instituciones gubernamentales de EE. UU. están obligadas a instalar los parches antes del 11 de noviembre de 2026. En el informe de CrowdStrike publicado también se afirma que el número de intrusiones en el sector jurídico casi se duplicó respecto a 2023. Además, los atacantes con motivación financiera representaron el 82 % de la actividad maliciosa registrada.

Anteriormente los ciberespías chinos ya habían utilizado vulnerabilidades de VMware para infiltrarse en infraestructuras virtuales de forma encubierta. La nueva historia muestra otra cara de la amenaza. Incluso un fallo con una puntuación mínima en CVSS puede beneficiar a los atacantes si permite ocultar las huellas de la compromisión frente a administradores y herramientas de defensa.