针对VMware虚拟机平台的勒索软件攻击开始肆虐

勒索病毒已经盯上了 VMware虚拟机平台!

针对VMware虚拟机平台的勒索软件攻击开始肆虐

今年2月,国内出现针对VMWare虚拟机平台的新型勒索攻击。有攻击者通过“RansomExx” 勒索病毒(也称“Defray777”),利用 VMWare ESXi 产品中的漏洞(CVE-2019-5544、CVE-2020-3992),对虚拟硬盘的文件进行加密,造成大量虚拟机关闭,虚拟处于关机,并处于无法连接状态,用户生产环境停线等严重问题

据国外安全公司CrowdStrike披露,“RansomExx”勒索病毒近期完成了新一轮更新,集成了VMWare最新披露的三个严重漏洞的利用代码,并有两个勒索软件团伙开始使用。

VMware公司近日修复了虚拟化产品中的三项关键漏洞。其中包括一个ESXi裸机管理程序内的堆缓冲区溢出漏洞(CVE-2021-21974),一个可在托管vCenter Server底层基础设施中执行任意命令的漏洞(CVE-2021-21972)。

补丁发布之后,CrowdStrike研究团队发现,Carbon Spider与Sprite Spider两个勒索软件团伙马上更新了攻击工具,对未及时更新的ESXi虚拟机管理程序发动入侵。这两个团伙此前曾经发动过多起大规模勒索软件攻击,主要攻击Windows系统。

不少使用ESXi服务器托管业务系统的公司迅速沦为受害者。更糟糕的是,ESXi本身充当着各类系统的承载平台,控制它的黑客往往能够相对轻松地进一步入侵企业的其它系统。

此前有消息称,自从VMware发布针对三项漏洞的修复程序之后,网络犯罪团伙就开始积极扫描那些未经补丁修复的VMware vCenter服务器,希望借此找到新的潜在入侵目标。

CrowdStrike研究团队表示,“通过在ESXi上部署勒索软件,Sprite Spider与Carbon Spider可能不再满足于原有Windows勒索软件,而是打算给受害者更沉重的一击。”

“只要对一台ESXi服务器进行加密锁定,其效果就相当于在该服务器上的各虚拟机内分别部署勒索软件。因此,这种以ESXi主机为目标的攻击手法极大提升了「狩猎游戏」的推进速度。”

“一旦对ESXi服务器开展的这些勒索软件攻击取得成功,恐怕在未来一段时间内,会有更多恶意团伙将矛头指向此类虚拟化基础设施。”

Sprite Spider通常会先使用Defray777病毒发动小规模“狩猎游戏”攻击,在窃取受害者数据及加密文件之前尝试破坏域控制器。

另一方面,Carbon Spider则一直将POS机设备作为攻击目标,而且习惯于通过网络钓鱼攻击夺取初始访问权限。但从去年4月开始,他们突然改变了攻击模式,转为向众多受害者发动大规模非针对性攻击。他们还在2020年8月使用了自己开发的病毒Darkside。

这两种病毒都会积极收集在vCenter Web界面上用于身份验证的凭证,借此入侵ESXi系统。而一旦获得凭证,攻击方即可控制ESXi设备上的多种集中式服务器管理工具

在接入vCenter之后,Sprite Spider会建立SSH连接以保持对ESXi设备的持久访问,并在特定情况下更改root密码或主机SSH密钥。而Carbon Spider则使用合法凭证访问vCenter,同时配合Plink工具通过SSH登录以投放Darkside勒索软件。

VMware公司发言人在采访中表示,“根据VMware公开做出的责任承诺,我们已经发布一项安全公告,其中包含针对此次安全问题的修复与缓解方法,希望帮助我们的客户免受攻击。”

“按照最佳实践的指引,VMware强烈建议所有客户针对实际环境应用我们提供的最新产品更新、安全补丁与缓解措施,而且最好能在安全可靠的配置基础之上部署VMware产品。”

参考来源:ITPro、云灾备

https://www.itpro.com/security/ransomware/358735/ransomware-operators-exploiting-vmware-esxi-flaws

声明:本文来自互联网安全内参,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。

版权归原作者所有,如若转载,请注明出处:https://www.ciocso.com/article/431.html

发表评论

登录后才能评论
跳至工具栏