I ricercatori di Sophos hanno identificato due campagne malevole — denominate **STAC4713** e **STAC3725** — che abusano di QEMU, un popolare software di virtualizzazione open source, per nascondere malware all’interno di macchine virtuali. L’obiettivo è eludere i sistemi di difesa, sottrarre credenziali, esfiltrare dati e distribuire il ransomware **PayoutsKing**.
—
## Chi C’è Dietro gli Attacchi
La campagna **STAC4713**, attiva dalla fine del 2025, è attribuita al gruppo **GOLD ENCOUNTER**, un threat actor operativo dalla metà del 2025 con motivazioni prevalentemente finanziarie. Il gruppo si distingue per operare in modo autonomo, senza ricorrere a modelli Ransomware-as-a-Service, e punta con particolare attenzione agli ambienti virtualizzati come VMware ed ESXi.
La seconda campagna, **STAC3725**, documentata agli inizi del 2026, non ha ancora un’attribuzione definitiva. Le attività post-compromissione variano e includono potenzialmente la rivendita degli accessi ottenuti a terze parti.
—
## La Tecnica: Una VM Invisibile Come Arma
Il cuore della strategia offensiva è tanto semplice quanto efficace: gli attaccanti installano una macchina virtuale **Alpine Linux 3.22.0** direttamente sull’host compromesso, sfruttando QEMU per eseguirla in modo silenzioso. Per garantire la persistenza, viene creato un **task pianificato** denominato `TPMProfiler`, che avvia il processo `qemu-system-x86_64.exe` con privilegi SYSTEM, rendendolo difficilmente distinguibile da attività legittime di sistema.
- All’interno della VM nascosta vengono caricati strumenti offensivi collaudati:
- **Impacket** — per il movimento laterale e il furto di credenziali
- **Rclone** — per l’esfiltrazione di dati verso storage cloud
- **Chisel** — per la creazione di tunnel SSH e il bypass dei firewall
Poiché l’attività malevola avviene *dentro* la macchina virtuale, la maggior parte degli endpoint detection and response (EDR) tradizionali non riesce a intercettarla: non rimangono tracce sull’host fisico.
—
## Vettori di Accesso Iniziale
Gli aggressori non utilizzano exploit sofisticati e zero-day come unico vettore: si affidano spesso a debolezze infrastrutturali già note. Tra i principali punti di ingresso documentati:
- **VPN esposte** senza autenticazione a più fattori (es. SonicWall)
- **Phishing e social engineering**
- Sfruttamento di **CVE-2025-26399** (SolarWinds Web Help Desk)
- Sfruttamento di **CVE-2025-5777**, noto come CitrixBleed2
Quest’ultima vulnerabilità è stata alla base della campagna STAC3725 nel febbraio 2026, dove la VM QEMU ospitava anche **BloodHound** per la mappatura del dominio Active Directory.
—
## Un Trend in Crescita
L’abuso di QEMU per scopi malevoli non è un fenomeno nuovo, ma ha subito una significativa accelerazione dalla seconda metà del 2025. Già nel maggio 2025 Sophos aveva documentato il caso **QDoor backdoor**, in cui QEMU era stato utilizzato per distribuire il ransomware **3AM**. Poco dopo, in un caso correlato alla compromissione di SolarWinds Web Help Desk, gli attaccanti avevano sfruttato DLL sideloading e task pianificati per costruire tunnel SSH attraverso VM nascoste, ottenendo il controllo completo del dominio.
Il pattern comune è chiaro: la virtualizzazione diventa uno **scudo invisibile** che permette agli attaccanti di mantenere l’accesso a lungo termine senza essere rilevati.
—
## Come Difendersi
Le indicazioni difensive emerse dall’analisi di Sophos sono concrete e actionable:
1. **Rilevamento comportamentale**: monitorare task pianificati sospetti come `TPMProfiler` che eseguono `qemu-system-x86_64.exe` con privilegi SYSTEM
2. **Abilitare MFA** su tutte le VPN e i sistemi di accesso remoto
3. **Patch management** tempestivo per CVE-2025-26399 e CVE-2025-5777
4. **Monitorare il traffico di rete** associato a Rclone, Chisel e tunneling SSH anomalo
5. **Deployare EDR con VM introspection**, capaci di ispezionare l’attività all’interno delle macchine virtuali
6. **Audit degli strumenti di virtualizzazione** presenti in ambienti non preposti a tale scopo
—
## Conclusione
L’abuso di QEMU rappresenta un salto qualitativo nelle tecniche di evasione: gli attaccanti portano con sé il proprio ambiente operativo, isolato e invisibile agli strumenti tradizionali. La risposta difensiva non può limitarsi agli indicatori di compromissione statici, ma deve abbracciare un approccio **comportamentale e orientato alla visibilità dell’intera infrastruttura**.
—
- *Fonti:**
- Sophos: https://www.sophos.com/en-us/blog/qemu-abused-to-evade-detection-and-enable-ransomware-delivery
- BleepingComputer: https://www.bleepingcomputer.com/news/security/payouts-king-ransomware-uses-qemu-vms-to-bypass-endpoint-security/
- Security Affairs: https://securityaffairs.com/190982/security/hidden-vms-how-hackers-leverage-qemu-to-stealthily-steal-data-and-spread-malware.html
Fonte: Articolo originale