Vasilek-Backdoor in VMware Tools: Angreifer nisteten sich jahrelang unbemerkt ein

Security · 21.10.2026

Eine Hacktivisten-Gruppe manipulierte VMware Tools, um eine persistente Backdoor in einer virtuellen Infrastruktur zu platzieren.

Eine belarussisch ausgerichtete Hacktivisten-Gruppe namens „Partisan Zmiy“ hat fast zwei Jahre lang unentdeckt das Netzwerk einer russischen Organisation infiltriert. Dabei nutzten die Angreifer eine manipulierte Version der eigentlich legitimen VMware Tools, um die sogenannte „Vasilek“-Backdoor dauerhaft im System zu verankern. Dieser Vorfall verdeutlicht die anhaltende Gefahr durch das gezielte Ausnutzen vertrauenswürdiger Virtualisierungskomponenten.

Warum ist das wichtig?

Virtualisierungslösungen wie VMware vSphere und die dazugehörigen VMware Tools gehören in der DACH-Region zum Standard in fast jedem Unternehmensrechenzentrum. Wenn Angreifer administrative Rechte erlangen und legitime Systemkomponenten manipulieren, können sie installierte Sicherheitslösungen wie EDR- oder Antiviren-Software oft umgehen, da diese Systemwerkzeuge standardmäßig als vertrauenswürdig eingestuft sind. Das Einschleusen von Schadcode in legitime Administrations-Tools erschwert die Entdeckung im Netzwerk massiv und gefährdet die gesamte virtualisierte Infrastruktur.

Was Nutzer jetzt tun sollten

• Integrität der VMware Tools prüfen: IT-Verantwortliche sollten sicherstellen, dass auf allen virtuellen Maschinen ausschließlich original signierte und unveränderte Versionen der VMware Tools aktiv sind.
• Netzwerksegmentierung konsequent umsetzen: Die Kommunikation zwischen virtuellen Maschinen, dem Hypervisor und dem restlichen Unternehmensnetzwerk muss auf das absolut Notwendige beschränkt werden.
• Verhaltensbasierte Überwachung etablieren: Da herkömmliche Signaturen bei manipulierten Systemdateien oft versagen, ist eine Anomalie-Erkennung für ungewöhnliche Prozessaufrufe, die von Virtualisierungskomponenten ausgehen, unerlässlich.
• Zugriffsrechte einschränken: Administrative Konten für die Verwaltung der Virtualisierungsinfrastruktur müssen strikt geschützt und zwingend mit Multifaktor-Authentifizierung (MFA) abgesichert sein.

Fazit

Der Vorfall führt vor Augen, dass Virtualisierungsumgebungen ein primäres Ziel für Cyberspionage bleiben. Ein kompromittierter Hypervisor oder manipulierte Gast-Tools gefährden die Integrität aller Systeme. Nur durch kontinuierliche Integritätsprüfungen und eine restriktive Rechtevergabe lässt sich dieses Risiko wirksam minimieren.

Quelle: The Hacker News