Новооповестена кампания показва как атакуващите комбинират zero-day уязвимост в VMware ESX с други недостатъци, за да проникнат в устройствата, които защитават мрежите. Според Help Net Security атакуващите са експлоатирали zero-day уязвимостта в VMware ESX, за да прикрият следите си, след което са свързали недостатъците PHP2Shell с бъг, наречен Fragnesia, за да получат root достъп до защитни стени. Заглавието на източника приписва дейността на китайски хакери.

Публичното резюме е кратко, затова тази публикация се придържа към това, което е докладвано, и обяснява защо то има значение отвъд големите предприятия.

Какво беше докладвано за zero-day уязвимостта в VMware ESX

Три елемента се открояват от доклада:

  • Zero-day уязвимост в VMware ESX. Zero-day е недостатък, който се експлоатира преди да е налично решение. ESX е хипервизор — софтуерът, който управлява виртуални машини на физически сървър. Според доклада атакуващите са използвали този недостатък, за да прикрият следите си, което означава, че им е помогнал да избегнат откриване.
  • Недостатъци PHP2Shell. Те са били свързани с друг бъг, за да се получи по-дълбок контрол над защитните стени.
  • Fragnesia. Комбиниран с PHP2Shell, този бъг е позволил на атакуващите да получат root достъп до защитни стени, което означава придобиване на най-високо ниво на контрол над устройството.

Резюмето на източника не дава допълнителни технически подробности, като засегнати версии или статус на кръпки, затова читателите следва да проверят съветите на доставчика за конкретика, вместо да предполагат.

Защо атакуващите се насочват към защитни стени и хостове за виртуализация

Защитните стени и хипервизорите заемат привилегировани позиции. Защитната стена вижда и контролира трафика между мрежата и интернет. Хипервизорът хоства много системи наведнъж. Компрометирането на едното или другото дава на атакуващия изгодна позиция, в която обикновените инструменти за сигурност на крайни точки често не могат да надникнат, което се вписва в темата за скрита дейност на тази кампания.

Свързването на недостатъци също е повтарящ се модел. Вместо да разчитат на един бъг, атакуващите свързват няколко, за да преминат от първоначален достъп до пълен контрол. Наблюдавали сме подобно поведение и в други репортажи, включително китайските хакери UTA0565, свързващи zero-day уязвимости в Chrome и Windows и доклад на Proofpoint за групи, свързани с Китай, които бързат да експлоатират zero-day уязвимости. Общата нишка е скорост и търпение: експлоатирай бързо, после остани тих.

Какво означава това за вас

Повечето домашни потребители не използват VMware ESX. Но много хора разчитат на рутер или защитна стена, а малките предприятия често използват устройства за защитна стена, които стоят на ръба на мрежата. Компрометирано гранично устройство може да разкрие трафика, преминаващ през него, включително активността при сърфиране и нешифрованите данни, а атакуващите могат да го използват като плацдарм за достигане до други устройства.

Това не е причина за паника. Докладът описва целенасочена кампания и нищо в резюмето не подсказва, че обикновените домакинства са специално избрани. Това обаче е полезно напомняне, че устройството, което защитава вашата мрежа, само по себе си може да бъде слабото място. По-широка държавно свързана дейност също е засягала отделни лица, както в подкрепяната от Китай шпионска кампания срещу журналисти и активисти, затова основната хигиена е важна за хора с по-висок профил на риск.

VPN може да добави слой, като шифрова трафика между вашето устройство и VPN сървъра, което ограничава какво може да види компрометиран локален рутер. Той не поправя защитна стена с root достъп и не заменя прилагането на кръпки.

Какво можете да проверите на своя рутер или защитна стена

  1. Актуализирайте фърмуера. Проверете административната страница или сайта на производителя за най-новата версия и я инсталирайте.
  2. Включете автоматични актуализации, ако устройството ви ги поддържа.
  3. Изключете отдалеченото администриране, освен ако наистина не ви е необходимо, и избягвайте излагането на страници за управление към интернет.
  4. Сменете данните за достъп по подразбиране и използвайте силна, уникална администраторска парола.
  5. Сменете неподдържан хардуер. Устройства, които вече не получават актуализации за сигурност, не могат да бъдат поправени, когато се появят нови недостатъци.
  6. Прегледайте логовете и настройките за непознати акаунти, променени DNS настройки или неочаквани пренасочвания на портове.
  7. Ако използвате VMware ESX или подобна инфраструктура, следвайте съветите за сигурност на доставчика и прилагайте кръпките своевременно.

Атакуващите все повече използват автоматизация, за да мащабират работата си, както се вижда в констатациите на Hunt.io за AI агенти, задвижващи хакерски атаки в цяла Азия, което прави навременното прилагане на кръпки по-важно, а не по-малко.

Основни изводи

Кампанията със zero-day уязвимостта в VMware ESX е напомняне, че скритата дейност и свързването на недостатъци вече са стандарт за способните атакуващи и че граничните устройства са ценни цели. Не можете да контролирате дали съществува zero-day уязвимост, но можете да съкратите излагането си: поддържайте фърмуера актуален, включвайте автоматични актуализации, ограничавайте отдалечения достъп и извеждайте от употреба неподдържано оборудване. Отнасяйте се към VPN като към един слой сред няколко. Започнете още днес, като проверите версията на фърмуера на своя рутер или защитна стена.