# VIRTUALPIE
> Tipo: **malware** · S1218 · [MITRE ATT&CK](https://attack.mitre.org/software/S1218)
## Descrição
[[s1218-virtualpie|VIRTUALPIE]] é um backdoor leve escrito em Python que cria um listener IPv6 em servidores VMware ESXi, oferecendo capacidades de execução de comandos, transferência de arquivos e reverse shell. O malware está em uso desde pelo menos 2022 pelo grupo [[g1048-unc3886|UNC3886]], que o instalou por meio de vSphere Installation Bundles (VIBs) maliciosos - um método de persistência sofisticado que abusa do mecanismo legítimo de extensão do hypervisor VMware.
A instalação via VIBs maliciosos é especialmente preocupante porque VIBs são pacotes de software de baixo nível que integram diretamente ao kernel ESXi, garantindo ao malware persistência profunda e difícil remoção. O VIRTUALPIE utiliza IPv6 para seu listener, potencialmente evitando monitoramento de rede que foca apenas em tráfego IPv4, e usa criptografia simétrica para proteger suas comúnicações. A capacidade de transferência lateral de ferramentas permite ao operador expandir o comprometimento para outros servidores ESXi na mesma infraestrutura de virtualização.
O [[g1048-unc3886|UNC3886]] é um grupo APT de espionagem com forte foco em dispositivos de virtualização e appliances de segurança de rede - alvos que frequentemente operam com menos controles de segurança do endpoint que workstations e servidores convencionais. A combinação de VIRTUALPIE com [[s1217-virtualpita|VIRTUALPITA]] (outro backdoor ESXi) demonstra o investimento do grupo em capacidades específicas para ambientes VMware.
**Plataformas:** ESXi
## Técnicas Utilizadas
- [[t1059-006-python|T1059.006 - Python]]
- [[t1573-001-symmetric-cryptography|T1573.001 - Symmetric Cryptography]]
- [[t1571-non-standard-port|T1571 - Non-Standard Port]]
- [[t1570-lateral-tool-transfer|T1570 - Lateral Tool Transfer]]
- [[t1505-006-vsphere-installation-bundles|T1505.006 - vSphere Installation Bundles]]
- [[t1059-012-hypervisor-cli|T1059.012 - Hypervisor CLI]]
## Grupos que Usam
- [[g1048-unc3886|UNC3886]]
## Detecção
A detecção do VIRTUALPIE requer auditoria regular de VIBs instalados em hosts ESXi para identificar pacotes não assinados ou de fontes não confiáveis (`esxcli software vib list`). Monitorar listeners de rede IPv6 em servidores ESXi, auditar processos Python em execução no hypervisor e analisar tráfego em portas não padrão são indicadores relevantes. A VMware públicou orientações de hardening de ESXi que incluem controles sobre a instalação de VIBs.
## Relevância LATAM/Brasil
Organizações brasileiras com infraestrutura VMware ESXi - especialmente data centers, provedores de cloud privada e grandes corporações - são potencialmente vulneráveis a técnicas de comprometimento de hypervisor como as utilizadas pelo [[g1048-unc3886|UNC3886]]. A crescente adoção de virtualização VMware no Brasil torna este vetor de ameaça cada vez mais relevante. Políticas de controle rigoroso de VIBs instalados e auditorias periódicas da integridade do hypervisor são controles essenciais para ambientes VMware de alto risco.
## Referências
- [MITRE ATT&CK - S1218](https://attack.mitre.org/software/S1218)