中国关联黑客利用VMware ESX零日漏洞减少审计追踪可见性

事件经过

美国网络安全和基础设施安全局（CISA）周三将影响Broadcom VMware ESX的一个安全漏洞列入其已知被利用漏洞（KEV）目录，此前CrowdStrike披露，该漏洞已被与中国有关联的威胁行为者（即实施攻击的个人或团队）Warp Panda武器化，用于针对美国的攻击。中国关联黑客利用VMware ESX零日漏洞降低审计追踪可见性 Ravie Lakshmanan 2026年10月29日 漏洞 / 网络间谍活动 美国 Broadcom是一家总部位于加利福尼亚州尔湾市的半导体公司。

Warp Panda发起的攻击涉及利用面向互联网的边缘设备获取初始访问权限，此后该威胁行为者转向VMware vCenter环境，部署BRICKSTORM和SharpStorm等定制恶意软件，以在不引起注意的情况下维持持久访问。

相关漏洞为CVE-2026-41709（CVSS评分：2.7），这是一个日志记录不足的漏洞，可能使拥有管理员权限的恶意行为者在不被记录的情况下执行某些操作。该报告在与The Hacker News共享的内容中称，Warp Panda“利用面向互联网的边缘设备，借助零日漏洞和定制恶意软件来维持隐蔽、持久的访问”，并补充称，该对手“主动规避检测，手段包括绕过审计日志记录、窃取云会话令牌以及注册恶意多因素认证（MFA）设备”。

该威胁行为者又被称为Armory Castle（原UNC5221）、Clay Typhoon和VerdantBamboo，此前曾多次武器化Citrix NetScaler和Ivanti Connect Secure设备中的零日漏洞，历史记录由来已久。