虛擬環境中的加密勒索程式

雖然虛擬環境能降低網絡威脅的風險,但並非完全無敵的萬能藥,加密勒索程式仍然能夠襲擊虛擬的架構,當中使用到存在安全漏洞的VMware ESXi。

專門針對VMware ESXi的加密勒索程式

使用虛擬裝置是強力而安全的做法,如果虛擬裝置並沒有儲存敏感數據,VM能降低被感染後的傷害,因為即使用戶意外在虛擬裝置動發了木馬程式,只需要掛載潔淨的鏡像就了逆轉惡意的改動。

然而,專門針對VMware ESXi安全漏洞的加密勒索程式RansomExx能夠攻擊虛擬硬盤,據報網絡犯罪組織DarkSide使用了相同的方法,製作了BabukLocker能夠加密ESXi

兩個涉事安全漏洞

VMware ESXi hypervisor讓多台虛擬裝置通過Open SLP儲存資料到單一伺服器,無需預先設定便可以檢測網絡裝置,涉事的兩個安全漏洞CVE-2019-5544CVE-2020-3992,存在已有一段時間,對網絡犯罪份子而言也毫不新穎,前者是heap overflow attack,後者則是Use-After-Free。兩項安全漏洞分別在2019和2020年被堵塞,但在2021年犯罪份子而然能利用他們成功發動攻擊,這意味著部份公司沒有更新他們的軟件。

使用ESXi的安全漏洞

攻擊者使用安全漏洞產生惡意的SLP請求並入侵數據儲存,要加密資料他們首先需要滲透網絡並站穩陣腳,這階段難度不高,尤其沒有保安方案的虛擬裝置。為了殖根在系統,RansomExx的操作員可以在Netlogon Remote Protocol使用Zerologon安全漏洞,誘使用戶在虛擬裝置上執行惡意編碼,然後奪取Active Directory控制器的控制,之後才對儲存的資料進行加密,並留下勒索的資料。

然而Zerologon並非唯一的選擇,只是其中一個最危險的選擇,因為使用這個漏洞接近難以被偵測,除非通過特別的服務

如何防護MSXI上的攻擊

  • 更新VMware ESXi
  • 如果絕對無法進行更新,使用VMware提議的解決方法(但要謹記這個方法裝會限制份SLP功能)。
  • 同時更新以堵塞Microsoft Netlogon的安全漏洞
  • 保護網絡內所有裝置,包括虛`擬裝置
  • 使用Managed Detection and Response去偵測複雜的多階段式攻擊,在傳統的防毒方案通常無法發現這種攻擊。

資料來源:Kaspersky Blog