Gli attori malevoli stanno attivamente abusando di QEMU, un emulatore open-source ampiamente diffuso, per eseguire macchine virtuali (VM) nascoste su sistemi Windows compromessi. L’obiettivo è eludere i sistemi di rilevamento endpoint, stabilire canali di comando e controllo, sottrarre credenziali e distribuire ransomware. Una tecnica che, sebbene non nuova, sta conoscendo una pericolosa evoluzione.
—
## QEMU come arma: una minaccia che cresce dal 2020
L’abuso di QEMU a scopi malevoli non è una novità assoluta. Già a partire dal 2020, gruppi come 3AM ransomware, LoudMiner e CRON#TRAP avevano sfruttato l’emulatore per attività illecite, rispettivamente per ransomware, cryptomining e campagne di phishing. Tuttavia, la frequenza e la sofisticazione di questi attacchi sono aumentate significativamente a partire dalla fine del 2025, con l’emergere di campagne strutturate e attori sempre più capaci.
—
## STAC4713 e il gruppo GOLD ENCOUNTER
La campagna più documentata è **STAC4713**, attribuita al gruppo **GOLD ENCOUNTER**, attivo da metà 2025. Si tratta di un attore finanziariamente motivato che opera in modo indipendente, senza ricorrere a modelli ransomware-as-a-service (RaaS) né ad affiliati esterni. Il gruppo ha sviluppato encryptor specifici per ambienti virtualizzati, con particolare attenzione alle piattaforme VMware ed ESXi.
L’architettura dell’attacco rivela una pianificazione meticolosa. L’accesso iniziale avviene tipicamente sfruttando **VPN esposte prive di autenticazione multifattore (MFA)** o, nelle campagne più recenti, la vulnerabilità **CVE-2025-26399** relativa a SolarWinds Web Help Desk. Una volta ottenuto l’accesso, gli attaccanti installano VM Alpine Linux leggere, mimetizzate attraverso immagini disco rinominate con estensioni insospettabili come `bisrv.dll`. La persistenza è garantita tramite **scheduled task** denominati `TPMProfiler`, progettati per richiamare QEMU al riavvio del sistema senza destare allarme.
All’interno delle VM nascoste, gli attori stabiliscono **reverse SSH tunnel** verso infrastrutture di comando e controllo esterne, eseguono movimenti laterali nella rete, sottraggono credenziali tramite dump di file critici come **NTDS.dit** e **SAM hive**, ed esfiltrano dati sensibili. Strumenti di sistema legittimi — tra cui `vssuirun.exe`, Microsoft Paint, Notepad, Edge e WizTree — vengono deliberatamente impiegati per ridurre i segnali di anomalia. L’obiettivo finale è il dispiegamento del ransomware **PayoutsKing**.
—
## La campagna parallela: STAC3725 e CitrixBleed2
In parallelo, la campagna **STAC3725**, osservata a partire dai primi mesi del 2026, segue un schema analogo ma sfrutta una vulnerabilità differente: **CitrixBleed2 (CVE-2025-5777)**. Dopo la compromissione iniziale, gli attaccanti installano un client ScreenConnect malevolo per garantire la persistenza, quindi dispiegano VM QEMU per ricognizione e furto di credenziali, avvalendosi di strumenti come Impacket, BloodHound, Kerbrute e Metasploit. In alcuni casi documentati, l’accesso ottenuto viene successivamente rivenduto ad altri attori.
—
## Perché QEMU è così efficace per l’evasione
Il valore tattico di QEMU risiede in una caratteristica fondamentale: i processi eseguiti all’interno della macchina virtuale sono **invisibili agli strumenti di rilevamento endpoint tradizionali**, che operano a livello di host. Il traffico di rete generato dalla VM può passare inosservato se il monitoraggio si concentra esclusivamente sui processi del sistema operativo ospite. Questo rende la tecnica particolarmente insidiosa in ambienti enterprise con infrastrutture virtualizzate complesse.
—
## Difendersi: un approccio a più livelli
Sophos e Microsoft raccomandano una strategia di difesa articolata su più livelli:
- **Imporre l’MFA** su tutti i punti di accesso remoto, in particolare VPN
- **Applicare patch tempestive** per vulnerabilità in SolarWinds Web Help Desk, Citrix NetScaler e strumenti analoghi
- **Monitorare la creazione di scheduled task** anomali (es. `TPMProfiler`) e l’esecuzione di processi QEMU (`qemu-system-x86_64.exe`)
- **Rilevare configurazioni SSH sospette**, tunnel inversi e port forwarding inusuali a livello di rete
- **Implementare la segmentazione di rete** per limitare i movimenti laterali in caso di compromissione
- **Disabilitare strumenti di credential dumping** e monitorare l’accesso ai database Active Directory
Il punto critico è che il rilevamento host-based da solo non è sufficiente: deve essere obbligatoriamente integrato con il **monitoraggio a livello di rete**.
—
## Conclusione
L’abuso di QEMU rappresenta un esempio eloquente di come strumenti legittimi possano essere trasformati in vettori di attacco sofisticati. L’evoluzione tattica di GOLD ENCOUNTER — dal QEMU-based persistence all’ingegneria sociale via Microsoft Teams — dimostra la capacità adattiva di questi attori. Per le organizzazioni, la risposta non può limitarsi alla tecnologia: richiede visibilità a ogni livello dell’infrastruttura.
—
- *Fonti:**
- Sophos Blog: [https://www.sophos.com/en-us/blog/qemu-abused-to-evade-detection-and-enable-ransomware-delivery](https://www.sophos.com/en-us/blog/qemu-abused-to-evade-detection-and-enable-ransomware-delivery)
- LiveThreat.ai: [https://www.livethreat.ai/intelligence/hidden-vms-how-hackers-leverage-qemu-to-stealthily-steal-data-and-spread-malware-16218](https://www.livethreat.ai/intelligence/hidden-vms-how-hackers-leverage-qemu-to-stealthily-steal-data-and-spread-malware-16218)
- BleepingComputer (PayoutsKing): [https://www.bleepingcomputer.com/news/security/payouts-king-ransomware-uses-qemu-vms-to-bypass-endpoint-security/](https://www.bleepingcomputer.com/news/security/payouts-king-ransomware-uses-qemu-vms-to-bypass-endpoint-security/)
- BleepingComputer (QEMU tunnel): [https://www.bleepingcomputer.com/news/security/hackers-abuse-qemu-to-covertly-tunnel-network-traffic-in-cyberattacks/](https://www.bleepingcomputer.com/news/security/hackers-abuse-qemu-to-covertly-tunnel-network-traffic-in-cyberattacks/)
- The Hacker News: [https://thehackernews.com/2024/03/cybercriminals-utilize-qemu-emulator-as.html](https
Fonte: Articolo originale