Bij een langdurige cyberaanval op een Russische organisatie in de zorgsector hield een Russische hackgroep bijna twee jaar stand in het netwerk. Volgens een rapport van de Russische securitypartij Solar gaat het om de cluster Partisan Zmiy (ook bekend als Cyber Partisans), die eerder al werd gelinkt aan spionage- en hackactiviteiten met een specifieke backdoor: Vasilek. Een opvallend onderdeel van de aanval was een VMware Tools backdoor: aanvallers misbruikten locaties en bestanden in VMware Tools om persistence op te bouwen en minder snel ontdekt te worden.
De aanvallers combineerden stealth met praktische uitvoering. Waar andere campagnes vaak sneller schade veroorzaken, concentreerden ze zich in deze zaak langer op toegang en onopvallende verzameling van informatie, mogelijk om later gerichte spionage of aanvallen via vertrouwde relaties te kunnen uitvoeren.
Bijna twee jaar onopgemerkt in het zorgnetwerk
Solar stelt dat de Russische zorgorganisatie de inbraak in december 2025 heeft ontdekt. Tegelijkertijd wijzen de beschikbare aanwijzingen erop dat de eerste tekenen van compromittering al begin 2024 te dateren zijn.
De gebruikte methode om de zaak stil te houden wijkt daarmee af van andere incidenten die aan Cyber Partisans worden toegeschreven. In plaats van meteen destructieve acties uit te voeren, bleven de aanvallers langdurig aanwezig zonder het soort verstoringen dat je doorgaans ziet in meer “schadegerichte” aanvallen.
Partisan Zmiy en de Vasilek-aanpak
De threat cluster is volgens Solar in elk geval actief sinds 2020. Daarbij heeft de groep een track record van aanvallen op industriële bedrijven en overheidsorganisaties in Rusland en Belarus.
De Vasilek-backdoor speelt hierin de centrale rol. De malware gebruikt Telegram als command-and-control (C2) en voor het exfiltreren van gegevens. Solar noemt ook dat de communicatie daardoor minder stabiel is dan voorheen, omdat Telegram in Rusland via internetproviders is geblokkeerd.
Naast Vasilek werd in deze campagne ook gekeken naar andere capaciteiten. Solar verwijst bijvoorbeeld naar een wiper die Pryanik heet en waarmee destructieve acties kunnen worden uitgevoerd. Ook wordt een aanpak genoemd om Windows event logs te wissen via een tool die Evlx wordt genoemd.
VMware Tools backdoor: persistence via vmtools.dll
Het meest concrete technische punt in het verhaal is de VMware Tools backdoor die draait met het idee dat VMware in de omgeving “vertrouwd” is. Aanvallers gebruikten een directorylocatie binnen VMware Tools die volgens Solar trusted-but-unmonitored is: dus wel legitiem, maar niet goed gemonitord.
In plaats van willekeurige malware in een obscure map neer te zetten, plantten de aanvallers kwaadaardige executables of vervingen ze delen van VMware-gerelateerde bestanden. Daarbij zou een gemanipuleerde vmtools.dll zijn ingezet die de backdoor bevat.
Er wordt bovendien een loader-scheduler service beschreven met de naam vmauad. Die dienst moet helpen om de backdoor te laten blijven draaien en om “snelle inspectie” te omzeilen door te lijken op iets dat bij VMware hoort.
Wat doet de Windows-service precies?
De service heeft als taak om een rogue binair bestand te starten: C: Program Files VMware VMware Tools authd.exe. Volgens Solar start deze component niet alleen persistent, maar wordt er ook periodiek een extra “tunnel” opgezet.
Daarnaast draait er een bijgewerkte Vasilek-versie. Solar noemt versie 1.5.8, die eenmaal wordt uitgevoerd acht uur nadat de service is gestart.
Vasilek-functies: van commando’s tot screenshots en privileges
Eenmaal geïnstalleerd, is Vasilek volgens Solar ontworpen voor volledige backdoorcontrole. De malware kan informatie verzamelen over het geïnfecteerde systeem, opdrachten uitvoeren in Windows en processen starten of stoppen.
Ook worden functies genoemd voor uitvoering en observatie, zoals het vastleggen van screenshotbeelden en het loggen van toetsaanslagen. Verder kan Vasilek privileges opschalen via runas.
Om ongemerkt te blijven, kan de malware bovendien zorgen dat het systeem niet in slaapstand valt. Tenslotte kan Vasilek zichzelf ook updaten of verwijderen, afhankelijk van wat de aanvallers nodig achten.
Nieuwe toevoeging: move_cursor
Solar noemt als “nieuwe” commandofunctie: move_cursor. Daarmee kan de backdoor de muiscursor verplaatsen en gedrag simuleren dat lijkt op echte gebruikersinput op het slachtoffer-scherm.
Dat is relevant voor stealth en mogelijk ook voor situaties waarin interactie met het systeem onderdeel is van het proces van de aanvallers, zonder dat ze altijd direct met een zichtbare GUI-gestuurde sessie hoeven te werken.
Stealth-tactieken en operationele beveiliging
Volgens Solar ligt de nadruk in deze campagne vooral op het beperken van detectie, niet op het voortdurend toevoegen van nieuwe technische “trucs”. De onderzoekers beschrijven dat de groep consequent investeert in operational security.
Voorbeelden die worden genoemd zijn onder meer:
- hostnaam-binding in twee onafhankelijke onderdelen;
- payloads die ’s nachts volgens een planning starten;
- proxygedrag dat overgenomen wordt van het systeem;
- vermomming als software die legitiem geïnstalleerd lijkt maar niet gebruikt wordt;
- rotatie van bestanden binnen dezelfde paden;
- time-stomping (tijdinformatie manipuleren);
- onderdrukken van uitgaande berichten en anonieme berichtgeving in chats van operators.
Daarnaast wijst Solar erop dat het pakket aan mogelijkheden van de backdoor relatief stabiel is gebleven over meerdere revisies. Dat suggereert dat de aanvallers vooral hebben geoefend op uitvoering en verborgen aanwezigheid.
Phishing erbij: JavaScript-bijlagen via schijnbare documenten
Naast de VMware-gebaseerde persistence wordt ook een phishingcampagne beschreven. Daarbij worden JavaScript-bijlagen gebruikt die zich voordoen als zakelijke documenten, zoals betalingen of purchase orders.
Solar meldt dat daarbij een malwarefamilie wordt ingezet die eerder nog niet was gerapporteerd en de naam HypeAgent krijgt. De focus van dit onderdeel ligt op het introduceren van malware in slachtofferomgevingen via social engineering in plaats van alleen technische misleiding.
Waarom deze case ook voor jou relevant is
Ook al is het incident gelokaliseerd rond een Russische zorgorganisatie, de kernlessen zijn breder. Een VMware Tools backdoor laat zien dat aanvallers niet per se “exotische” aanvalspaden nodig hebben; ze kunnen gebruikmaken van wat in de praktijk vertrouwd is binnen virtuele omgevingen.
Verder valt op dat er langdurige toegang mogelijk was, terwijl er in eerste instantie geen directe destructieve acties werden uitgevoerd. Dat betekent dat detectie niet alleen gericht moet zijn op “schade”, maar ook op langdurige afhandeling van persistence en afwijkingen in legitieme bestanden.
Wil je dit vergelijken met andere stealth-incidenten rond bekende CVE-achtige verhalen of snelle patchrondes? Lees dan ook eens het artikel over Plex2Shell en de CISA-patch voor KEV-flaws. Daar zie je hoe snel misbruik kan ontstaan zodra componenten kwetsbaar zijn, terwijl deze case vooral laat zien hoe misbruik kan worden uitgesteld via persistence.
Wat kun je nu doen als je VMware-infrastructuur hebt?
Omdat de details draaien om VMware Tools paden, bestanden en services, is de praktische insteek: controleer en monitor waar je normaal gesproken niet automatisch kijkt. Let daarbij op afwijkingen in VMware Tools-gerelateerde uitvoerbestanden en bibliotheken, en op ongeplande of nachtelijke activiteiten die vanuit “vertrouwde” mappen komen.
Concreet kun je denken aan:
- inventariseren welke VMware Tools componenten in productieomgevingen aanwezig zijn;
- integriteitschecks op relevante DLL’s en executables binnen VMware Tools paden;
- monitoring van services die zich presenteren als standaard VMware-onderdelen, maar niet verklaarbaar zijn door je beheerproces;
- logging en alerting op pogingen om event logs te wissen of om auditsporen te verminderen;
- extra aandacht voor beveiliging rond administratieve toegang, aangezien Vasilek ook opdrachten kan uitvoeren en privileges kan opschalen.
Als je organisatie ook gevoelig is voor social engineering, is het daarnaast verstandig phishingbijlagen en JavaScript-gedrag te isoleren en te beperken, zodat een “legitieme” documentstijl niet alsnog een startpunt vormt voor een backdoor.
Conclusie: let op vertrouwde paden
Deze publicatie laat vooral zien hoe effectief het kan zijn wanneer aanvallers niet alleen kwetsbaarheden of phishing gebruiken, maar ook vertrouwde infrastructuurlocaties. De VMware Tools backdoor in de vorm van Vasilek is een voorbeeld van persistence via vmtools-gerelateerde bestanden en een service die de indruk wekt dat alles “normaal” is.
Door de combinatie van langdurige aanwezigheid, stealth-tactieken en command-and-control via Telegram (met beperkte stabiliteit door blokkades) is de campagne moeilijker te herkennen dan een snelle aanval met duidelijke pieken. Daarom is het cruciaal om VMware Tools en aanverwante componenten niet alleen te beheren, maar ook actief te controleren op afwijkingen.
Meer achtergrond over hoe je omgaat met aanvallen gericht op controle en aanwezigheid in je systemen vind je mogelijk ook in Rogue AI-agenten: zo reageer je snel en goed, waar het thema “detectie en snelle reactie” terugkomt in een andere context. De onderliggende aanpak—alert zijn op ongewenste acties in je omgeving—blijft hetzelfde.
Bron: https://thehackernews.com/2026/10/hackers-hid-vasilek-backdoor-in-vmware.html
