Warp Panda zielt auf vCenter und ESXi So sichern Unternehmen vCenter und ESXi gegen versteckte Zugriffe

Anbieter zum Thema

CrowdStrike GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Im Laufe des Jahres 2025 hat CrowdStrike mehrere Angriffe auf VMware-vCenter-Umgebungen bei US-amerikanischen Unternehmen, unter anderem aus den Bereichen Recht, Technologie und Fertigung, beobachtet. Verantwortlich für die Angriffe war der neu identifizierte, China-nahe Angreifer Warp Panda, der die Malware Brickstorm einsetzte.

Warp Panda zeichnet sich durch ein hohes Maß an Tarnfähigkeit aus und konzentriert sich fast ausschließlich darauf, einen dauerhaften, langfristigen und unbemerkten Zugriff auf kompromittierte Netzwerke aufrechtzuerhalten. Die Aktivitäten der Gruppe sind vermutlich auf Anforderungen zur Informationsbeschaffung zurückzuführen, die mit den strategischen Interessen der Volksrepublik China (VR China) im Einklang stehen.

Insgesamt zeichnet sich Warp Panda durch ein hohes Maß an technischer Raffinesse, fortgeschrittene OPSEC-Fähigkeiten (Operational Security) sowie umfassende Kenntnisse über Cloud- und VM-Umgebungen (Virtual Machine) aus. Zusätzlich zur Brickstorm-Malware hat „Warp Panda” während seiner Operationen auch JSP-Web-Shells und zwei neue Implantate für ESXi-Umgebungen eingesetzt, die inzwischen „Junction” und „GuestConduit” heißen. Warp Panda behielt dabei langfristigen, dauerhaften Zugriff auf die kompromittierten Netzwerke.

Microsoft warnt vor Angriffen auf VMware

Ransomware-Attacken auf VMware ESXi-Server

Details

Warp Panda verschafft sich häufig zunächst über internetfähige Edge-Geräte Zugriff und wechselt anschließend zu vCenter-Umgebungen. Dabei verwendet es entweder gültige Anmeldedaten oder es nutzt Schwachstellen in vCenter aus. Um sich innerhalb der kompromittierten Netzwerke lateral zu bewegen, nutzt der Angreifer SSH und das privilegierte vCenter-Verwaltungskonto „vpxuser”. In einigen Fällen hat CrowdStrike außerdem festgestellt, dass Warp Panda das Secure File Transfer Protocol (SFTP) verwendet, um Daten zwischen Hosts zu übertragen.

Unter Verwendung von Techniken, die auf Tarnung und OpSec ausgerichtet sind, nutzt Warp Panda TTPs, die das Löschen von Protokollen und die Manipulation von Datei-Zeitstempeln sowie die Erstellung bösartiger VMs – die nicht im vCenter-Server registriert sind – und deren Herunterfahren nach der Verwendung umfassen. In ähnlicher Weise verwendet der Angreifer in dem Versuch, sich in den legitimen Netzwerkverkehr einzufügen, Brickstorm, um Datenverkehr durch vCenter-Server, ESXi-Hosts und Gast-VMs zu tunneln. Brickstorm-Implantate tarnen sich als legitime vCenter-Prozesse und verfügen über Persistenzmechanismen, die es den Implantaten ermöglichen, auch nach dem Löschen von Dateien und dem Neustart des Systems zu überleben.

CrowdStrike hat wiederholt beobachtet, dass Warp Panda Daten für die Exfiltration bereitgestellt hat. Der Angreifer verwendete eine mit ESXi kompatible Version von 7-Zip, um Daten aus Thin-Provisioned-Snapshots von Live-ESXi-Gast-VMs zu extrahieren und bereitzustellen. Unabhängig davon nutzte Warp Panda 7-Zip, um Daten aus VM-Festplatten zu extrahieren, die auf einem nicht ESXi-basierten Linux-Hypervisor gehostet wurden. CrowdStrike Services fand außerdem Hinweise darauf, dass der Angreifer seinen Zugriff auf vCenter-Server nutzte, um Domänencontroller-VMs zu klonen – vermutlich, um sensible Daten wie die Active-Directory-Domain-Services-Datenbank zu sammeln.

Warp Panda nutzte seinen Zugriff auf eines der kompromittierten Netzwerke wahrscheinlich, um rudimentäre Erkundungen gegen eine Regierungsstelle im asiatisch-pazifischen Raum durchzuführen. Außerdem stellte die Gruppe Verbindungen zu verschiedenen Cybersicherheits-Blogs und einem mandarin-sprachigen GitHub-Repository her. Darüber hinaus griff der Angreifer bei mindestens einem Eindringen gezielt auf E-Mail-Konten von Mitarbeitern zu, die an Themen arbeiten, die den Interessen der chinesischen Regierung entsprechen.

Spionage, gefördert aus China

Wer ist Salt Typhoon?

Cloud-Aktivität

Warp Panda ist ein auf Cloud-Umgebungen spezialisierter Angreifer, der sich lateral bewegen, auf sensible Daten zugreifen und sich dauerhaft etablieren kann.

Im Spätsommer 2025 nutzte der Angreifer den Zugriff auf die Microsoft-Azure-Umgebungen mehrerer Unternehmen, um vor allem auf in OneDrive, SharePoint und Exchange gespeicherte Microsoft-365-Daten zuzugreifen. In einem Fall erlangte der Angreifer Benutzersitzungstoken, vermutlich durch Exfiltration von Benutzerbrowser-Dateien, und leitete den Datenverkehr über Brickstorm-Implantate um, um mittels Session Replay auf Microsoft-365-Dienste zuzugreifen. Außerdem griff der Angreifer auf sensible SharePoint-Dateien zu, die sich auf die Netzwerktechnik- und Incident-Response-Teams eines Unternehmens bezogen, und lud sie herunter.

Um Persistenz zu erreichen, registrierte der Angreifer in mindestens einem Fall nach der ersten Anmeldung bei einem Benutzerkonto ein neues Gerät für die Multi-Faktor-Authentifizierung (MFA) über einen Authenticator-App-Code. Bei einem anderen Angriff nutzte der Angreifer die Microsoft Graph API, um Dienstprinzipien, Anwendungen, Benutzer, Verzeichnisrollen und E-Mails aufzulisten.

Update: 10 Millionen Dollar Belohnung

Chinesische Hacker greifen kritische US-Infrastrukturen an

Was Unternehmen tun können

Warp Panda ist seit mindestens 2022 aktiv. Als cloudbewusster, gezielter Angreifer verfügt er über fortgeschrittene technische Fähigkeiten und zeichnet sich durch den Einsatz spezifischer Malware aus. Bis heute ist Warp Panda der einzige Angreifer, der nach Beobachtungen von CrowdStrike Intelligence Brickstorm, GuestConduit und Junction einsetzt. Laut Branchenberichten wird Brickstorm jedoch möglicherweise von mehreren miteinander verbundenen Akteuren mit Verbindungen zu China genutzt.

Warp Panda wird seine Aktivitäten zur Informationsbeschaffung wahrscheinlich sowohl kurz- als auch langfristig fortsetzen. Diese Einschätzung basiert auf einer moderaten Zuversicht, die sich aus den erheblichen technischen Fähigkeiten des Angreifers sowie dessen Fokus auf langfristige Zugriffsoperationen ergibt. Dies lässt darauf schließen, dass er mit einer gut ausgestatteten Organisation in Verbindung steht, die stark in Cyberspionagefähigkeiten investiert hat.

Um sich vor den beschriebenen Aktivitäten zu schützen, wird ein mehrschichtiger Sicherheitsansatz empfohlen, der einen starken Fokus auf Überwachung, Zugriffskontrolle und Netzwerksegmentierung für die VMware-Infrastruktur legt. Zu den wichtigsten Überwachungsempfehlungen gehören die Verfolgung der Erstellung nicht genehmigter VMs, die Aufbewahrung und Überwachung von ESXi- und vCenter-Syslogs sowie die Überprüfung auf nicht genehmigte ausgehende Verbindungen, insbesondere zu C2-Infrastrukturen, die mit Brickstorm in Verbindung stehen. Die Zugriffskontrolle sollte strikt durchgesetzt werden, indem der SSH-Zugriff (insbesondere für root und vpxuser) deaktiviert oder eingeschränkt wird, die Einstellung „execInstalledOnly” von ESXi aktiviert wird, lokale Konten nach dem Prinzip der geringsten Berechtigungen genutzt werden und MFA über Identitätsverbund für den vCenter-Zugriff erforderlich ist. Darüber hinaus ist die Netzwerksicherheit von entscheidender Bedeutung. Sie erfordert einen eingeschränkten ausgehenden Internetzugang, eine strenge Netzwerksegmentierung und Firewall-Regeln für Verwaltungsschnittstellen sowie die Überwachung der Nutzung nicht standardmäßiger Ports. Stellen Sie schließlich sicher, dass alle Gast-VMs über EDR-Lösungen verfügen, wenden Sie Sicherheitspatches umgehend an und rotieren Sie regelmäßig alle administrativen Anmeldedaten und API-Schlüssel.

China-nahe APT nutzt Windows-Zero-Day für gezielte Spionageangriffe

Zero-Day in Windows bedroht Europas Diplomaten

(ID:50661424)