Bij een langdurige inbraak in een Russische zorgorganisatie bleek hoe hardnekkig aanvallers kunnen zijn als ze eenmaal binnen zijn. Volgens een rapport van Solar opereerde een Belarus-aligned hacktivistengroep bijna twee jaar in het netwerk, met als doel vooral spionage en toegang via vertrouwde relaties. Een sleutelrol daarbij speelde de VMware Tools achterdeur Vasilek, die zich verstoptte door misbruik van locaties en componenten rond VMware.
Wat dit bericht extra relevant maakt: de technieken waren niet alleen gericht op binnenkomen, maar ook op blijven. Denk aan persistente services, geplande activiteiten en het systematisch opruimen van sporen in Windows-eventlogs.
De aanvalssituatie: bijna twee jaar onopgemerkt
Solar koppelt de activiteit aan een dreigingscluster dat bekendstaat als Partisan Zmiy (ook Cyber Partisans). De groep is volgens het rapport al sinds minstens 2020 actief en richt zich vaker op industriële ondernemingen en overheidsorganisaties in Rusland en Belarus.
Hoewel de besmetting pas in december 2025 werd ontdekt door een dochteronderneming van Rostelecom, wijzen de aanwijzingen erop dat de eerste compromis mogelijk al begin 2024 plaatsvond. Het opvallende verschil met andere campagnes: de aanvallers bleven lang aanwezig zonder onmiddellijk destructieve acties uit te voeren.
Waarom VMware Tools hier centraal staat
In het hart van de campagne stond een loader-scheduler service met een naam die lijkt op een legitiem VMware-onderdeel. Door gebruik te maken van een trusted-but-unmonitored mapstructuur binnen VMware Tools konden aanvallers hun eigen executables neerzetten of zelfs legitieme VMware DLL’s vervangen.
Concreet wordt genoemd dat een kwaadaardige versie van vmtools.dll werd geplaatst, inclusief de functionaliteit van de achterdeur. Zo konden de aanvallers hun malware laten opstarten binnen een context die voor beheerders herkenning moest bemoeilijken.
Persistente service en geplande activiteiten
De Windows-service had als primaire taak om een rogue binary te starten op het pad van VMware Tools. In het rapport staat dat de service daarnaast een GOST-tunnel opstart op een terugkerend tijdstip—elke zaterdag van 22:00 tot 23:00 uur—en vervolgens acht uur na het begin van de service één keer een bijgewerkte versie van Vasilek uitvoert.
Die timing past bij een bredere strategie: niet alles tegelijk, maar met vaste momenten om detectie op basis van gedrag te bemoeilijken en om de keten gecontroleerd te laten draaien.
Vasilek 1.5.8: wat de achterdeur kan
Volgens Solar is Vasilek uitgerust met een breed scala aan mogelijkheden om een geïnfecteerde machine te controleren en informatie te verzamelen. De achterdeur kan onder andere:
- informatie verzamelen over de besmette computer
- Windows-commando’s uitvoeren
- processen starten en beëindigen
- bestanden overzetten
- screenshots maken
- toetsenbordaanslagen registreren
- privileges opschalen via runas
- voorkomen dat het systeem in slaapstand gaat
- zichzelf bijwerken of verwijderen
Een nieuw element dat in het rapport wordt genoemd is de move_cursor-opdracht. Daarmee kan de malware de cursor verplaatsen en gebruikersinput simuleren op het scherm. Dat kan helpen bij interactie met UI-gebaseerde processen of bij het uitvoeren van handelingen die anders opvallen in logbestanden.
Spionage én het opruimen van sporen
Een opvallende eigenschap van de groep is hun focus op stealth en operationele beveiliging. In het rapport worden meerdere maatregelen genoemd om detectie te vertragen, zoals het “binden” van hostnamen in verschillende componenten, rotatie van bestanden binnen dezelfde paden en time-stomping (tijdskenmerken aanpassen).
Daarnaast wordt vermeld dat aanvallers een hulpmiddel inzetten om Windows-eventlogs systematisch te wissen. Dat maakt incidentonderzoek lastiger, zeker als de logs al vroeg in de tijdlijn zijn verwijderd.
Er wordt ook gesproken over onderdrukking van uitgaande berichten en het gebruik van anonieme berichten namens de aanvallers in operatorchats. Samen met de planning van payloads wijst dit op een werkwijze die niet draait om “even snel schade”, maar om langdurige toegang.
Telegram C2: instabiliteit door blokkades
Vasilek gebruikt Telegram voor command-and-control (C2) en voor exfiltratie van gegevens. Solar merkt echter op dat de communicatie minder stabiel is geworden doordat Telegram in Rusland door internetproviders geblokkeerd wordt.
Dat is een belangrijk inzicht voor defenders: een deel van de detectiekansen ontstaat juist waar communicatie verstoord raakt. Tegelijk betekent het niet dat de campagne stopt; het kan ook leiden tot aangepaste interval- of fallback-gedragingen.
Ter context: wiper Pryanik en extra payloads
Dezelfde dreigingsactor wordt ook gekoppeld aan een wiper genaamd Pryanik, waarmee destructieve acties mogelijk zijn. Interessant is dat Solar in deze specifieke casus juist geen directe destructie zag tijdens de lange aanwezigheid op het netwerk. De hypothese is dat de aanvallers de toegang vooral waardevol vonden voor verdere spionage en voor aanvallen op basis van vertrouwensrelaties met medische instellingen.
Ook wordt er melding gemaakt van een clearing-utility (Evlx) en van een verschuiving in modus operandi: langer blijven zonder direct “de stekker eruit te trekken”.
Gerelateerde dreigingen die je mee kunt nemen in je verdediging
Dit soort aanvallen past in een bredere trend waarin aanvallers misbruik maken van tooling, gecompromitteerde of misbruikte componenten en misleidende logica. Als je wilt verdiepen in vergelijkbare patronen, zijn onderstaande artikelen relevant:
- Plex2Shell: kwetsbaarheden misbruikt voor crypto en backdoor (over exploitketens en payloadkeuzes)
- Siemens Software Center kwetsbaarheid misbruikt (over misbruik van softwarecomponenten)
- Cairn misbruikt voor geautomatiseerde aanvallen (over geautomatiseerde campagnes en volharding)
Wat kun je nu doen? Praktische aandachtspunten
Op basis van het beschreven scenario kun je je focus verleggen naar drie verdedigingslagen: detectie rond VMware Tools, integriteitscontrole en forensische voorbereiding.
1) Controleer VMware Tools paden en binaries
Omdat de campagne gebruikmaakte van VMware Tools-locaties, loont het om te monitoren op afwijkingen in bestandsnamen, versies en uitvoer op padniveau (bijvoorbeeld binnen Program Files
oot-structuren rondom VMware Tools). Let daarbij vooral op onverwachte executables of DLL’s met niet-passende tijdstempels.
2) Kijk naar persistente services en scheduler-gedrag
De gerapporteerde loader-scheduler service en het geplande tunnelmoment zijn voorbeelden van gedrag dat je kunt opnemen in monitoring. Denk aan alerts op nieuwe of aangepaste services die refereren aan VMware-subpaden.
3) Verbeter log- en eventintegriteit
Als aanvallers Windows-eventlogs wissen, moet je zorgen dat je onderzoek niet volledig afhankelijk is van lokale logbestanden. Interne correlatie, centrale logging en alerting op “log clearing” signalen helpen om de aanvalslijn alsnog te reconstrueren.
4) Maak C2-blokkades niet je enige verdediging
Dat Telegram geblokkeerd wordt, kan communicatie onstabiel maken, maar het garandeert geen afschrikking. Focus daarom op endpoints, netwerkpatronen rond uitgaande connecties en afwijkend gedrag van geauthenticeerde processen.
Conclusie: langdurige toegang vraagt om gerichte monitoring
De casus rond de VMware Tools achterdeur Vasilek laat zien dat aanvallers niet alleen streven naar initiële toegang, maar vooral naar langdurige, stille aanwezigheid. Door VMware Tools te misbruiken als schijnbare legitimiteit, gecombineerd met geplande activiteiten en het wissen van sporen, wordt detectie een stuk lastiger.
Door VMware Tools-gerelateerd bestands- en servicegedrag te controleren, logintegriteit te versterken en forensische mogelijkheden vooraf te organiseren, kun je de kans verkleinen dat een vergelijkbare campagne maandenlang onopgemerkt blijft.
Bron: https://thehackernews.com/2026/10/hackers-hid-vasilek-backdoor-in-vmware.html
