根據網路安全公司 QUIRSO 的研究報告，近期出現了一波針對 Broadcom VMware vCenter Server 的大規模攻擊行動。這場攻擊被認為是由一個具有中國背景的進階持續性威脅（APT, Advanced Persistent Threat，指由國家支持或高度組織化，針對特定目標進行長期滲透的駭客組織）所發起。攻擊者利用了 vCenter 中的嚴重漏洞，成功在全球 47 個國家、約 361 個受害 IP 位址中建立據點，其中德國、美國與土耳其受影響最為嚴重。
背景與漏洞利用
此次攻擊的核心在於 CVE-2026-59310，這是一個極為嚴重的目錄遍歷（Directory Traversal）漏洞，其 CVSS 評分高達 9.8 分。目錄遍歷是一種允許攻擊者透過操縱檔案路徑，讀取或寫入伺服器上原本不應被存取的檔案之漏洞。在 vCenter 的案例中，攻擊者利用此漏洞將惡意檔案放置在具有高權限執行能力的目錄中，進而達成遠端執行任意程式碼（RCE, Remote Code Execution）的目的。
Broadcom 已於 2026 年 7 月 29 日發布修補程式，然而攻擊行動在漏洞公開後僅五天便迅速展開。除了 CVE-2026-59310，研究人員還發現部分系統同時被利用了 CVE-2026-59309 認證繞過（Authentication Bypass）漏洞。認證繞過允許攻擊者在不需要合法帳號密碼的情況下獲取系統存取權，讓攻擊者能輕易建立管理員帳號，為後續的滲透鋪路。
攻擊流程與技術細節
攻擊者的操作路徑顯示出極高的組織性與對 VMware 環境的熟悉度。首先，他們利用漏洞在系統的 cron 守護行程（crond，Linux 系統中用於排程執行任務的服務）中植入惡意設定檔。透過這種方式，攻擊者能以 root 最高權限執行指令，無需經過權限提升（Privilege Escalation）過程即可直接控制 vCenter Server Appliance (vCSA)。
在建立初始據點後，攻擊者部署了名為 linuxFile 的後門程式。該程式透過 WebSocket 頻道與指令控制伺服器（C2, Command-and-Control）通訊，並使用自定義的應用層加密來掩蓋流量。為了維持長期存取權，攻擊者利用 systemd 服務與 cron 任務建立持久化機制，確保系統重啟後後門依然有效。
隨後，攻擊者採取了多項偽裝與權限擴張手段。他們建立多個模仿 VMware 正式服務的名稱（如 vmware-vpxd-stats 等），用以部署 JSP Web Shell 或執行 Base64 編碼的 Python 腳本。這些腳本旨在從 vCenter 的目錄服務（vmdir）中竊取管理員憑據，並將新建立的惡意帳號加入 vSphere SSO 管理員群組，從而完全掌控虛擬化環境。
影響與勒索軟體的角色
在掌握 vCenter 後，攻擊者進一步滲透至底層的 ESXi 主機（VMware 的虛擬化核心伺服器），部署名為 reverse_ssh 的反向 SSH 工具，以便直接控制各個虛擬機。最終，攻擊者在 ESXi 主機上部署了衍生自 Babuk 的勒索軟體，將檔案加密並加上 .babyk 副檔名。
然而，QUIRSO 的研究人員提出一個關鍵觀點：部署勒索軟體可能並非此次行動的最終目標，而是一種煙霧彈（Smokescreen）。透過加密 ESXi 的日誌檔案，攻擊者能有效地刪除入侵軌跡，使防禦者無法透過遙測數據（Telemetry Data）分析其真正的活動目的。這種策略旨在將分析人員的注意力吸引至勒索軟體處理上，而掩蓋其在系統深處進行的數據竊取或長期監控行動。
限制與後續追蹤
為了進一步掩蓋行蹤，攻擊者甚至在 GitHub 上建立了一個名為 tmpclean 的開源專案，表面上是一個清理 Linux 暫存目錄的 Go 語言工具。但經反向工程分析，該工具實際上被用來自動刪除 /tmp 目錄下超過 24 小時的惡意檔案，藉此系統化地抹除入侵證據。
此次攻擊的歸因主要基於多項證據：包括攻擊腳本中出現的中文痕跡、對中國安全出版物研究成果的重複利用、操作時間符合 UTC+08:00 時區，以及受害者名單完全排除中國大陸。這顯示出攻擊者具有強烈的特定目標導向，且在漏洞公開後能迅速將 PoC（概念驗證程式碼）武器化為實際攻擊工具。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。