Cyber Partisans ukryli backdoor Vasilek w VMware Tools rosyjskiej organizacji medycznej

Grupa haktywistów związana z Białorusią, Cyber Partisans, przez prawie dwa lata działała w sieci rosyjskiej organizacji medycznej i ukrywała backdoor Vasilek w VMware Tools. Raport opublikowała rosyjska firma Solar, spółka zależna Rostelecomu. Włamanie wykryto w grudniu 2025 roku, a pierwsze ślady pochodzą z początku 2024 roku. Nie wiadomo, jak napastnicy dostali się do sieci. Vasilek używa Telegrama do sterowania i wyprowadzania danych. Tym razem grupa nie przeprowadziła działań niszczących, choć wcześniej używała wipera Pryanik i narzędzia Evlx do czyszczenia dzienników zdarzeń Windows.

Kogo dotyczy

Ofiarą jest nienazwana rosyjska organizacja medyczna z rozbudowaną infrastrukturą i dwustronnymi relacjami zaufania z wieloma podległymi placówkami medycznymi. Grupa, znana też jako Partisan Zmiy i aktywna co najmniej od 2020 roku, atakuje zakłady przemysłowe i instytucje rządowe w Rosji i na Białorusi. W części ataków rozsyłała phishing z instalatorem, który obok legalnego programu FortiClient VPN wgrywał narzędzie DNSCat2 przejmujące kontrolę nad komputerem.