Onderzoekers van Solar 4RAYS hebben in december 2025 een langdurige cyberaanval op een medische organisatie ontdekt, waarbij de Vasilek-backdoor en een voorheen onbekende loader werden ingezet. De vroegste sporen van de inbraak dateren van begin 2024. Gedurende deze periode van ongeveer twee jaar wisten de aanvallers gevoelige medische informatie bloot te leggen, terwijl ze de systemen operationeel hielden. De getroffen organisatie onderhield vertrouwensrelaties met diverse dochterondernemingen binnen de medische sector, waardoor de aanvallers toegang konden verkrijgen tot verbonden organisaties.

De aanval illustreert een trend waarbij backdoors, specifiek gericht op de gezondheidszorg, kwaadaardige activiteiten maskeren achter legitieme software en netwerkdiensten. De geavanceerde backdoor, genaamd Vasilek, was verborgen binnen een legitieme installatie van VMware Tools. Deze software was al langer aanwezig, maar werd door beheerders niet actief gebruikt. De aanvallers maakten gebruik van de installatiedirectory van VMware Tools als een vertrouwde, doch onbewaakte locatie voor hun kwaadaardige componenten, die ze vermomden met namen die leken op legitieme virtualisatiesoftware. Kort voor de ontdekking in december 2025 vervingen de aanvallers een legitieme VMware-bibliotheek door kwaadaardige code, terwijl het origineel onder een andere naam werd opgeslagen. De vervangen bibliotheek miste een digitale handtekening, in tegenstelling tot het origineel.

De aanvallers manipuleerden tevens Windows-services door deze geloofwaardige weergavenamen te geven, teneinde kwaadaardige bibliotheken en de custom loader te verbergen. Ze pasten bestandstijdstempels aan om deze te laten overeenkomen met legitieme VMware-componenten en gebruikten dezelfde paden voor verschillende tools. Het oorspronkelijke toegangspunt tot de systemen kon niet worden vastgesteld; phishing of kwetsbaarheidsuitbuiting blijven dan ook onbevestigd. Onderzoekers vonden bewijs van commando-uitvoering op afstand, gevolgd door toegang via legitieme remote desktop-verbindingen en Windows-bestandsdeling.

De loader initieerde tools volgens een vast schema. Een GOST-tunnel was wekelijks actief op zaterdag van 22:00 tot 23:00 uur. Een andere tunnel en Vasilek werden eenmalig gestart, acht uur na het begin van de service. De configuratie van de loader verwees naar een server-specifieke opslagplaats voor Windows-updates, wat suggereert dat de implementatie voortkwam uit eerdere verkenning van de systemen.

Vasilek is een 32-bits Windows-backdoor die in 2025 voor het eerst publiekelijk werd beschreven. De door Solar geanalyseerde interne versie 1.5.8 bevatte 59 commando's. De functionaliteit van Vasilek omvatte onder andere het uitvoeren van commando's, bestandsoverdracht, het vastleggen van toetsaanslagen, het maken van schermafbeeldingen, het uitlezen van de inhoud van het klembord en het manipuleren van de muisinvoer. De backdoor controleerde de naam van de geïnfecteerde computer alvorens te opereren, om analyse elders te bemoeilijken.

De operators communiceerden instructies via een Telegram-groep met behulp van de publieke Bot API. Resultaten van de malware werden naar dezelfde chat teruggestuurd. Naast Telegram werden ook DNSCat2, PartisanDNS en een GOST-plus-3proxy keten gebruikt als toegangs- en communicatiekanalen. Bedrijfsproxysettings zorgden ervoor dat de verbindingen de route volgden van legitiem internetverkeer.

De gebruikte infrastructuur en technieken brachten de inbraak in verband met Partisan Zmiy. De gemanipuleerde VMware-bibliotheek werd geassocieerd met Vasilek, maar de gedetailleerde analyse labelde dit specifieke sample als een loader voor PartisanDNS. Beveiligingslogs registreerden gebeurtenissen van servicecreatie en sporen van externe opdrachtuitvoering, wat onderzoekers hielp bij het reconstrueren van delen van de aanval.

Beveiligingsspecialisten adviseren organisaties om handtekeningen binnen vertrouwde softwaremappen te controleren en meldingen van antivirussoftware grondig te onderzoeken. Respondenten wordt aangeraden te zoeken naar aanvullende tunnels, proxyketens, tools voor laterale beweging en potentieel destructieve payloads die met vertraging worden uitgevoerd.