חשיפה: קמפיין הריגול Fire Ant חודר לעומק תשתיות הווירטואליזציה של VMware

בדו”ח מקיף שפורסם ביולי 2025, חושפת חברת האבטחה Sygnia קמפיין ריגול חמור שהתרחש לאורך שנת 2025, במסגרתו תשתיות וירטואליזציה של VMware שימשו יעד למתקפות מתוחכמות וממושכות. הקמפיין, שכונה Fire Ant, התאפיין בשליטה עמוקה על שרתי vCenter ו-ESXi, וכן על התקני רשת נוספים, תוך שימוש בטכניקות מתקדמות לעקיפת הגנה והתמדה ארוכת טווח.

במרכז המתקפה עמדו שלוש יכולות עיקריות: השתלטות על תשתיות הווירטואליזציה באמצעות פרצות אבטחה קריטיות, תנועה רוחבית בין סגמנטים ברשת תוך עקיפת מנגנוני סגמנטציה, ושימור גישה על אף ניסיונות סילוק אקטיביים מצד מגיני המערכות. 

התוקפים ניצלו חולשות חמורות (כגון CVE-2023-34048 ו-CVE-2023-20867), התקינו דלתות אחוריות מתוחכמות, שיבשו מערכות לוגים כדי להקשות על גילוי, והשתמשו בטכניקות לזיהוי ומניעת מאמצי תגובה.

הייחוד של Fire Ant היה ביכולתו לפעול מתחת לרדאר של מערכות אבטחה סטנדרטיות – למשל, באמצעות ביצוע פקודות ממארחות הווירטואליזציה ישירות לתוך מכונות וירטואליות, תוך שימוש בפקודות PowerCLI ושינוי תהליכים בזיכרון. כל אלו בוצעו ללא צורך בהרשאות בתוך המכונות הווירטואליות, והובילו לשליטה מוחלטת – מההיפרוויזור ועד למערכות הפנימיות ביותר, לרבות בקרי דומיין.

מעבר לכך, התוקפים הצליחו לפרוץ התקני רשת מרכזיים כגון מאזני עומסים (F5) ושרתים פנימיים, עליהם השתמשו כנקודות קפיצה לרשתות מבודדות. הם גם פעלו לחיבור נכסי רשת ישירות לאינטרנט, תוך עקיפת מדיניות אבטחה באמצעות IPv6 או יצירת “מכונות וירטואליות סוררות” שאינן נרשמות במערכות הניהול.

למרות מאמצי תגובה של צוותים טכניים, Fire Ant הדגים עמידות גבוהה. הוא החליף כלים, שינה שמות קבצים והתאים את שיטות הפעולה שלו לפי התגובה. הוא אף ניתח את פעולות המגינים במטרה להסוות את עקבותיו טוב יותר בפעם הבאה.

Sygnia מצביעה על קווי דמיון חזקים בין הקמפיין לבין קבוצת UNC3886 הידועה בפעילות ריגול סינית, אך נמנעת מייחוס ודאי. עם זאת, סימני קוד, כלים וסגנון פעולה מצביעים על המשכיות ברורה לקמפיינים קודמים של הקבוצה.

הדו”ח ממליץ לארגונים לראות בתשתיות וירטואליזציה יעד מיידי להגנה, ולהחיל מדיניות אבטחה הדוקה גם על רכיבים שבעבר נחשבו “מחוץ לתחום” האיומים. בין ההמלצות: עדכון שוטף של תוכנות, ניתוק גישת SSH ישירה ל-ESXi, הפעלת Secure Boot, ניטור תהליכים חריגים, והגנה על קבצי מערכת קריטיים.

לסיכום, קמפיין Fire Ant מדגיש את הפערים המובנים באבטחת תשתיות וירטואליזציה, ואת הצורך הדחוף בטיפול מקיף במערכות ליבה, אשר נותרו זמן רב חשופות ונוחות לחדירה מצד תוקפים מתקדמים.