一、事件追蹤 近日，一篇名為《針對(duì)VMware vSphere的勒索病毒已經(jīng)出現(xiàn)》的博文引起了大家的廣泛關(guān)注。虛擬化系統(tǒng)一直被認(rèn)為具有較高的安全性，但此次事件中，盡管該系統(tǒng)客戶現(xiàn)有存儲(chǔ)每天執(zhí)行過(guò)快照，花費(fèi)一整天的時(shí)間，也僅僅是大致恢復(fù)了業(yè)務(wù)。根據(jù)報(bào)道，中毒現(xiàn)象如下： VMware vSphere集群僅有vCenter處于正常狀態(tài)。同時(shí)企業(yè)中Windows桌面PC，筆記本大量出現(xiàn)被加密情況。 VMware vSphere部分： 瀏覽ESXI Datastore發(fā)現(xiàn)，虛擬機(jī)磁盤文件.vmdk，虛擬機(jī)描述文件.vmx被重命名，手動(dòng)打開.vmx文件，發(fā)現(xiàn).vmx文件被加密。 Vmx文件被加密。圖片引用自 https://blog.csdn.net/z136370204/article/details/114924387 VMware vm-support日志收集包中，竟然也有勒索軟件生成的說(shuō)明。圖片引用自https://blog.csdn.net/z136370204/article/details/114924387 Windows部分： 依據(jù)原博文報(bào)道，windows客戶端內(nèi)，用戶文件被加密，加密程度不一。Windows日志被清空，無(wú)法溯源。防病毒軟件未起到作用，運(yùn)行安全診斷軟件，未能發(fā)現(xiàn)異常。 二、病毒分析 未能依據(jù)公開報(bào)道，從公開平臺(tái)上獲取本次勒索事件中病毒樣本。依據(jù)中毒現(xiàn)象，初步判斷該病毒基本與此前針VMware vSphere的勒索病毒同源。事實(shí)上，2021年2月2日，美國(guó)網(wǎng)絡(luò)安全媒體ZDNet發(fā)布報(bào)告稱，一款名為RansomExx的勒索軟件利用VMware ESXi的利用VMWare ESXi產(chǎn)品的漏洞CVE-2019-5544和CVE-2020-3992進(jìn)行攻擊，攻擊活動(dòng)于2020年10月被首次發(fā)現(xiàn)。2021年1月27日，“BabukLocker”勒索軟件的開發(fā)者也聲稱可以加密VMware ESXi工作站。 CVE-2019-5544漏洞來(lái)源于ESXi和Horizon DaaS設(shè)備中使用的OpenSLP存在堆覆蓋問題，能夠通過(guò)網(wǎng)絡(luò)訪問ESXi宿主機(jī)上 427 端口或任何Horizon DaaS平臺(tái)的惡意用戶可能會(huì)通過(guò)覆蓋OpenSLP服務(wù)的堆，最終導(dǎo)致遠(yuǎn)程代碼執(zhí)行。 CVE-2020-3992漏洞來(lái)源于ESXi中使用的OpenSLP存在“use-after-free”釋放后重利用問題，當(dāng)攻擊者在管理網(wǎng)絡(luò)（management network）中時(shí)，可以通過(guò)訪問ESXi宿主機(jī)的427端口觸發(fā)OpenSLP服務(wù)的user-after-free，從而導(dǎo)致遠(yuǎn)程代碼執(zhí)行。 除此之外，2021年2月24日，VMware 官方發(fā)布安全公告，披露了一個(gè)嚴(yán)重漏洞、一個(gè)高位漏洞、一個(gè)中危漏洞。據(jù)安全人士分析稱，勒索病毒在更新中添加了對(duì)其的利用代碼。這三個(gè)漏洞包括： CVE-2021-21972為vSphere Client（HTML5）在vCenter Server默認(rèn)安裝插件vRealize Operations中包含一個(gè)遠(yuǎn)程執(zhí)行代碼漏洞。攻擊者可直接通過(guò)443端口構(gòu)造惡意請(qǐng)求，執(zhí)行任意代碼，控制vCenter。該漏洞容易利用，利用方式已在網(wǎng)絡(luò)社區(qū)中廣泛傳播，需重點(diǎn)防護(hù)。 CVE-2021-21974為ESXi中使用的OpenSLP存在堆溢出漏洞，攻擊者可通過(guò)427端口構(gòu)造惡意請(qǐng)求，觸發(fā)OpenSLP服務(wù)中的堆溢出漏洞，并可能導(dǎo)致遠(yuǎn)程代碼執(zhí)行。 中危漏洞CVE-2021-21973 VMware vCenter Server SSRF漏洞，攻擊者可通過(guò)443端口發(fā)送惡意POST請(qǐng)求，發(fā)起內(nèi)網(wǎng)掃描，造成SSRF漏洞。 三、解決方案 首先，建議更新至官方建議的版本。摘錄官方公告，形成表格如下： 其次，建議加強(qiáng)對(duì)系統(tǒng)的備份，包括但不限于數(shù)據(jù)備份。根據(jù)相關(guān)報(bào)道，技術(shù)人員在安全事件發(fā)生時(shí)第一時(shí)間嘗試禁用漏洞相關(guān)服務(wù)。但囿于VMware vSphere系統(tǒng)本身的限制，收效甚微。歷來(lái)對(duì)勒索病毒的處理實(shí)踐中，備份一直是最有力的武器。及時(shí)在現(xiàn)場(chǎng)處理安全事件，第一時(shí)間也應(yīng)斷網(wǎng)并搶救式備份數(shù)據(jù)。唯有足夠充分的備份，才能完整實(shí)現(xiàn)對(duì)用戶的安全承諾。 最后，還是要提醒我們的技術(shù)人員提高警惕。虛擬化環(huán)境與linux操作系統(tǒng)一直以來(lái)被認(rèn)為具有較高的安全性。但近年來(lái)，針對(duì)布置在其中的企業(yè)系統(tǒng)，安全事件層出不窮。攻擊與防御是動(dòng)態(tài)發(fā)展的過(guò)程，只要具有足夠大的價(jià)值，隨著被洞悉，被研究，沒有能夠永久屹立的絕境長(zhǎng)城，終會(huì)出現(xiàn)使其驟然倒塌的冬之號(hào)角。唯有安全人員如誓詞那般： 長(zhǎng)夜將至，我從今開始守望；今夜如此，夜夜皆然。
作者：電子六所工按安全所檢測(cè)中心 王家和
聯(lián)系客服
