Pesquisadores de segurança cibernética identificaram uma ostensiva campanha de ataques digitais explorando uma vulnerabilidade recém-corrigida na plataforma VMware vCenter, desenvolvida pela Broadcom.
A atividade maliciosa foi atribuída a um grupo de ameaça persistente avançada (APT) com suspeita de vínculo com a China. O ataque combina a exploração direta de uma brecha de alta gravidade com a implantação de uma variante de ransomware baseada no código-fonte do Babuk, comprometendo centenas de servidores em diversos continentes.
O incidente ganhou escala após a publicação do boletim de segurança oficial VMSA-2026-0006 pela Broadcom. No entanto, a rapidez com que os agentes de ameaça desenvolveram e executaram o código de exploração surpreendeu analistas do setor.
Registros de telemetria indicam que as invasões ativas começaram apenas cinco dias após a divulgação inicial da falha, evidenciando o alto grau de monitoramento e prontidão técnica por parte dos cibercriminosos.
Detalhes técnicos e vetor de ataque da vulnerabilidade CVE-2026-59310
A vulnerabilidade central explorada no incidente é rastreada como CVE-2026-59310, apresentando uma pontuação de gravidade máxima CVSS de 9.8. A falha está localizada no serviço Syslog do VMware vCenter e classifica-se como uma vulnerabilidade de travessia de diretório (path traversal).
Certamente, a gravidade do problema decorre da capacidade de permitir que um invasor remoto não autenticado, com acesso de rede ao servidor, execute comandos arbitrários no sistema operacional subjacente com privilégios de nível root.
Para consolidar o comprometimento da infraestrutura, os atacantes implementaram táticas elaboradas de persistência e evasão de defesas. O processo de intrusão envolveu os seguintes passos técnicos observados pelas equipes de resposta a incidentes:
- Exploração inicial do serviço Syslog: Envio de requisições maliciosas manipuladas para burlar o controle de rotas de arquivos e atingir a execução de código no sistema operacional.
- Estabelecimento de canal reverso: Instalação da ferramenta de código aberto reverse_ssh, uma estrutura baseada em SSH projetada para testes de penetração que realiza conexões de dentro para fora do perímetro de rede, suprimindo bloqueios padrão de firewall.
- Agendamento de tarefas persistentes: Criação de rotinas no cron job do Linux para assegurar que o acesso do invasor permaneça ativo mesmo após eventuais reinicializações do servidor vCenter.
- Execução do sequestro de dados: Implantação e execução de uma carga útil de ransomware personalizada, desenvolvida a partir do código-fonte vazado da família Babuk.
Rapidez de armamento do exploit após o comunicado oficial
A linha do tempo do ataque evidencia a extrema agilidade dos agentes maliciosos. A Broadcom publicou o primeiro aviso técnico no final de julho de 2026, informando inicialmente que não havia registros de exploração em massa.
Porém, no início de agosto, relatórios do centro de resposta a incidentes da empresa alemã Quirso confirmaram a identificação de conexões ativas entre servidores vCenter vulneráveis e a infraestrutura de comando e controle do grupo hacker.
Esse intervalo reduzido entre o aviso do fabricante e o ataque sistemático demonstra que os grupos de espionagem e extorsão cibernética acompanham em tempo real as divulgações de vulnerabilidades.
Certamente, essa dinâmica exige das equipes de infraestrutura uma resposta imediata na aplicação de patches e atualizações de segurança.
Disseminação global e táticas de persistência dos invasores
A análise de dados de telemetria revelou um impacto amplo e diversificado geograficamente. Pelo menos 361 endereços IP vulneráveis foram confirmados como comprometidos em 47 países. As nações com maior concentração de alvos afetados incluem Estados Unidos, Alemanha, Turquia, Irã e França, abrangendo empresas privadas de grande porte e prestadores de serviços de tecnologia da informação.
No entanto, especialistas alertam que a contagem de endereços IP representa apenas uma estimativa mínima do alcance real, dado que um único endereço de rede externo pode mascarar múltiplos servidores virtuais e instâncias de vCenter afetadas dentro de uma mesma corporação.
O papel do ransomware derivado do Babuk nas operações de extorsão
O uso de uma variante baseada no Babuk sinaliza uma transição relevante nas táticas operacionais atribuídas a grupos asiáticos. Historicamente associados a campanhas de espionagem cibernética e coleta de inteligência, esses atores têm incorporado ferramentas de extorsão financeira para desestabilizar operações e camuflar seus verdadeiros objetivos estratégicos.
O código-fonte do Babuk, que se tornou público após um vazamento em fóruns cibernéticos, permite que diferentes operadores modifiquem a estrutura de criptografia para otimizar o ataque contra ambientes virtualizados Linux e ESXi.
A combinação dessa carga útil destrutiva com o acesso elevado no vCenter concede ao atacante o controle quase irrestrito sobre as máquinas virtuais gerenciadas pela plataforma.
Implicações operacionais e desdobramentos em segurança digital
A exploração do VMware vCenter reacende o alerta para a segurança em componentes fundamentais de infraestrutura corporativa.
O vCenter atua como o sistema central de gerenciamento para ambientes de virtualização, o que significa que o comprometimento dessa camada coloca em risco a confidencialidade e a disponibilidade de toda a nuvem privada de uma organização.
Diante desse cenário factual, autoridades mundiais de cibersegurança e equipes de resposta a incidentes ressaltam que apenas a instalação das atualizações disponibilizadas pela Broadcom pode não garantir a remediação completa caso a invasão já tenha ocorrido antes da aplicação do patch.
A auditoria minuciosa de logs de acesso, a inspeção de tarefas agendadas no sistema operacional e a verificação de tráfego de rede saintes não padrão figuram como medidas indispensáveis para determinar a presença de artefatos maliciosos e restaurar a postura defensiva dos ambientes afetados.
