3 февраля 2023 года произошёл резкий рост атак на серверы VMware ESXi. Злоумышленники эксплуатируют уязвимость CVE-2021-21974, чтобы получить удалённое выполнение кода и запустить программу-вымогатель. В результате вредоносная программа шифрует файлы на серверах, что приводит к потере данных, нарушению бизнес-процессов и финансовым потерям. Атака затронула тысячи организаций по всему миру.
Описание
В тот же день на форуме Bleeping Computer пользователь, имеющий доступ к одному из пострадавших серверов, опубликовал скрипт и исполняемый файл, которые, по его словам, использовались для шифрования данных. По данным CloudSEK, эти файлы обнаружили на серверах ESXi и применяли для шифрования их содержимого. Опубликованные образцы позволили проанализировать цепочку атаки и определить методы, применяемые злоумышленниками.
Уязвимость CVE-2021-21974 связана с переполнением буфера в службе OpenSLP, которая входит в состав ESXi. В частности, ошибка присутствует в версиях 7.0 до сборки ESXi70U1c-17325551, 6.7 до ESXi670-202102401-SG и 6.5 до ESXi650-202102101-SG. Производитель выпустил исправления ещё в 2021 году. Однако многие организации не установили обновления, поэтому серверы остаются уязвимыми. Злоумышленники сканируют интернет в поисках таких систем и атакуют их.
Скрипт, написанный на Bash, сначала находит конфигурационные файлы виртуальных машин. Затем он заменяет имена образов дисков и файлов подкачки на унифицированные, чтобы затруднить восстановление. После этого скрипт завершает процессы работающих виртуальных машин и запускает шифрование. При этом он ищет файлы с расширениями, характерными для виртуальных машин: образы дисков, конфигурации, файлы подкачки, дампы памяти. Вычислив размеры этих файлов, скрипт передаёт их исполняемому файлу вместе с открытым ключом RSA. Исполняемый файл применяет двухуровневое шифрование: сначала RSA, затем потоковый шифр Sosemanuk. После шифрования скрипт заменяет приветственное сообщение при входе на записку с требованием выкупа, удаляет журналы, изменяет служебные файлы и скрывает задания планировщика. В завершение он запускает службу удалённого доступа SSH, вероятно, для повторного доступа.
Исполняемый файл, который скрипт вызывает для шифрования, представляет собой программу для Linux. Он инициализирует криптографическую библиотеку, загружает открытый ключ RSA и создаёт объект для шифрования. Затем он применяет RSA и потоковый шифр Sosemanuk к каждому целевому файлу. Для каждого зашифрованного файла создаётся файл с метаданными, который может понадобиться для расшифровки. После завершения работы скрипт удаляет все использованные файлы и очищает следы.
По оценкам на основе открытых источников, жертвами стали более 3200 организаций. Точное число уязвимых серверов установить сложно. Злоумышленники требуют выкуп в биткоинах, указывая сумму и контакт в мессенджере Tox в записке. На момент анализа транзакций по указанным биткоин-адресам не зафиксировано. Следовательно, сумма выкупа и контакт отличаются для каждой жертвы.
Потеря данных с серверов ESXi может остановить работу организации, поскольку эти серверы часто используют для виртуализации критичных сервисов. Восстановление без резервных копий затрудняет то, что скрипт переименовывает образы дисков и файлы подкачки. Кроме того, он удаляет журналы и изменяет служебные файлы, чтобы скрыть изменения. В результате организация может потерять доступ к критичным данным и понести серьёзные финансовые убытки.
Для защиты необходимо обновить серверы ESXi до последних версий и установить исправления. Также следует регулярно создавать резервные копии данных и хранить их изолированно. Уязвимость CVE-2021-21974 затрагивает версии ESXi 6.5, 6.7 и 7.0, выпущенные до определённых обновлений. Следует ограничить доступ к серверам ESXi из интернета и использовать средства сетевой защиты.
Индикаторы компрометации
YARA
