Están explotando instancias de VMware ESXi en ataques activos utilizando un conjunto de herramientas de exploits de día cero que encadenan múltiples vulnerabilidades para escapes de máquinas virtuales. La empresa de ciberseguridad Huntress interrumpió uno de estos ataques, atribuyendo el acceso inicial a una VPN de SonicWall comprometida. Los actores de amenazas obtuvieron una posición inicial a través de la VPN de SonicWall, y luego usaron una cuenta de Administrador de Dominio comprometida para el movimiento lateral

Están explotando instancias de VMware ESXi en la naturaleza con un toolkit de exploit de día cero que encadena múltiples vulnerabilidades para escapes de VM. La empresa de ciberseguridad Huntress interrumpió uno de estos ataques, atribuyendo el acceso inicial a una VPN de SonicWall comprometida. Los actores de amenazas obtuvieron una posición de ventaja a través de la VPN de SonicWall, y luego usaron una cuenta de Administrador de Dominio comprometida para el movimiento lateral a controladores de dominio de respaldo y primarios. En el controlador de dominio primario, desplegaron herramientas de reconocimiento como Advanced Port Scanner y ShareFinder, prepararon datos con WinRAR, y alteraron las reglas del firewall de Windows para bloquear el tráfico saliente externo mientras permitían el movimiento lateral interno. Aproximadamente 20 minutos después del despliegue del toolkit, ejecutaron el exploit de ESXi, que Huntress detuvo antes del despliegue del ransomware.

Toolkit de Exploit para Instancias de VMware ESXi

El toolkit, denominado MAESTRO por Huntress, orquesta la desactivación de los controladores VMware VMCI con devcon.exe, la carga de un controlador sin firmar vía KDU para omitir la aplicación de la firma del controlador, y la ejecución del escape principal. MyDriver.sys consulta la versión de ESXi a través del VMware Guest SDK, selecciona offsets de una tabla que soporta 155 builds a través de ESXi 5.1 a 8.0, filtra la base VMX a través de HGFS (CVE-2025-22226), corrompe la memoria a través de VMCI (CVE-2025-22224), y despliega shellcode para el escape de sandbox (CVE-2025-22225).

CVE ID	CVSS Score	Descripción
CVE-2025-22226	7.1	Lectura fuera de límites en HGFS filtrando la memoria VMX
CVE-2025-22224	9.3	Escritura arbitraria escapando del sandbox VMX al kernel
CVE-2025-22225	8.2	Escritura arbitraria escapando del sandbox VMX al kernel

El shellcode despliega VSOCKpuppet, una backdoor que secuestra inetd de ESXi en el puerto 21 para la ejecución root, utilizando VSOCK para una comunicación sigilosa host-guest invisible para las herramientas de red. Las rutas PDB revelan el desarrollo en entornos simplificados chinos, como “全版本逃逸–交付” (Escape de todas las versiones-entrega), fechado en febrero de 2024, más de un año antes de la divulgación VMSA-2025-0004 de Broadcom el 4 de marzo de 2025.