Μια πρόσφατα αναφερθείσα εκστρατεία δείχνει πώς οι επιτιθέμενοι συνδυάζουν ένα zero-day του VMware ESX με άλλα σφάλματα για να παραβιάσουν τις συσκευές που προστατεύουν δίκτυα. Σύμφωνα με το Help Net Security, οι επιτιθέμενοι εκμεταλλεύτηκαν το zero-day του VMware ESX για να κρύψουν τα ίχνη τους και στη συνέχεια συνδύασαν σφάλματα PHP2Shell με ένα bug που ονομάζεται Fragnesia για να αποκτήσουν root πρόσβαση σε firewalls. Η επικεφαλίδα της πηγής αποδίδει τη δραστηριότητα σε Κινέζους χάκερ.
Η δημόσια σύνοψη είναι σύντομη, επομένως αυτή η ανάρτηση περιορίζεται σε όσα έχουν αναφερθεί και εξηγεί γιατί έχει σημασία πέρα από τις μεγάλες επιχειρήσεις.
Τι αναφέρθηκε για το zero-day του VMware ESX
Τρία στοιχεία ξεχωρίζουν από την αναφορά:
- Ένα zero-day του VMware ESX. Ένα zero-day είναι ένα σφάλμα που εκμεταλλεύονται πριν υπάρξει διαθέσιμη διόρθωση. Το ESX είναι ένα hypervisor, το λογισμικό που εκτελεί εικονικές μηχανές σε έναν φυσικό διακομιστή. Σύμφωνα με την αναφορά, οι επιτιθέμενοι χρησιμοποίησαν αυτό το σφάλμα για να κρύψουν τα ίχνη τους, δηλαδή τους βοήθησε να αποφύγουν τον εντοπισμό.
- Σφάλματα PHP2Shell. Αυτά συνδυάστηκαν με ένα άλλο bug για να αποκτήσουν βαθύτερο έλεγχο των firewalls.
- Fragnesia. Σε συνδυασμό με το PHP2Shell, αυτό το bug επέτρεψε στους επιτιθέμενους να αποκτήσουν "root" πρόσβαση σε firewalls, δηλαδή να αποκτήσουν το υψηλότερο επίπεδο ελέγχου της συσκευής.
Η σύνοψη της πηγής δεν παρέχει περαιτέρω τεχνικές λεπτομέρειες, όπως επηρεαζόμενες εκδόσεις ή κατάσταση ενημερώσεων κώδικα, επομένως οι αναγνώστες θα πρέπει να συμβουλευτούν τις ανακοινώσεις ασφαλείας των κατασκευαστών για συγκεκριμένες πληροφορίες αντί να υποθέσουν.
Γιατί οι επιτιθέμενοι στοχεύουν firewalls και διακομιστές virtualization
Τα firewalls και οι hypervisors βρίσκονται σε προνομιακές θέσεις. Ένα firewall βλέπει και ελέγχει την κίνηση μεταξύ ενός δικτύου και του διαδικτύου. Ένας hypervisor φιλοξενεί πολλά συστήματα ταυτόχρονα. Η παραβίαση οποιουδήποτε από τα δύο δίνει στον επιτιθέμενο ένα πλεονέκτημα που τα συνηθισμένα εργαλεία ασφαλείας τελικών σημείων συχνά δεν μπορούν να δουν, κάτι που ταιριάζει με το θέμα της stealth δράσης αυτής της εκστρατείας.
Η αλυσίδωση είναι επίσης ένα επαναλαμβανόμενο μοτίβο. Αντί να βασίζονται σε ένα μόνο bug, οι επιτιθέμενοι συνδέουν πολλά για να μετακινηθούν από την αρχική πρόσβαση στον πλήρη έλεγχο. Έχουμε δει παρόμοια συμπεριφορά σε άλλες αναφορές, συμπεριλαμβανομένων των Κινέζων χάκερ UTA0565 που συνδυάζουν zero-days των Chrome και Windows και μιας αναφοράς της Proofpoint για ομάδες συνδεδεμένες με την Κίνα που σπεύδουν να εκμεταλλευτούν zero-days. Το κοινό στοιχείο είναι η ταχύτητα και η υπομονή: εκμεταλλεύσου γρήγορα και μετά μείνε ήσυχος.
Τι σημαίνει αυτό για εσάς
Οι περισσότεροι οικιακοί χρήστες δεν εκτελούν VMware ESX. Αλλά πολλοί άνθρωποι βασίζονται σε ένα router ή firewall, και οι μικρές επιχειρήσεις συχνά χρησιμοποιούν συσκευές firewall που βρίσκονται στην άκρη του δικτύου. Μια παραβιασμένη συσκευή άκρου μπορεί να εκθέσει την κίνηση που διέρχεται από αυτήν, συμπεριλαμβανομένης της δραστηριότητας περιήγησης και μη κρυπτογραφημένων δεδομένων, και οι επιτιθέμενοι μπορούν να τη χρησιμοποιήσουν ως βάση για να φτάσουν σε άλλες συσκευές.
Αυτός δεν είναι λόγος πανικού. Η αναφορά περιγράφει μια στοχευμένη εκστρατεία και τίποτα στη σύνοψη δεν υποδηλώνει ότι τα συνηθισμένα νοικοκυριά στοχοποιούνται. Είναι, ωστόσο, μια χρήσιμη υπενθύμιση ότι η συσκευή που προστατεύει το δίκτυό σας μπορεί η ίδια να είναι το αδύναμο σημείο. Ευρύτερη δραστηριότητα που συνδέεται με κρατικούς φορείς έχει επίσης επηρεάσει ιδιώτες, όπως στην κατασκοπευτική εκστρατεία υποστηριζόμενη από την Κίνα κατά δημοσιογράφων και ακτιβιστών, επομένως η βασική υγιεινή ασφαλείας έχει σημασία για άτομα με υψηλότερα προφίλ κινδύνου.
Ένα VPN μπορεί να προσθέσει ένα επίπεδο κρυπτογραφώντας την κίνηση μεταξύ της συσκευής σας και του διακομιστή VPN, γεγονός που περιορίζει το τι μπορεί να δει ένα παραβιασμένο τοπικό router. Δεν διορθώνει ένα firewall με root πρόσβαση και δεν αντικαθιστά την ενημέρωση κώδικα.
Τι μπορείτε να ελέγξετε στο δικό σας router ή firewall
- Ενημερώστε το firmware. Ελέγξτε τη σελίδα διαχείρισης ή τον ιστότοπο του κατασκευαστή για την τελευταία έκδοση και εγκαταστήστε την.
- Ενεργοποιήστε τις αυτόματες ενημερώσεις εάν η συσκευή σας τις υποστηρίζει.
- Απενεργοποιήστε την απομακρυσμένη διαχείριση εκτός εάν την χρειάζεστε πραγματικά, και αποφύγετε την έκθεση σελίδων διαχείρισης στο διαδίκτυο.
- Αλλάξτε τα προεπιλεγμένα διαπιστευτήρια και χρησιμοποιήστε έναν ισχυρό, μοναδικό κωδικό πρόσβασης διαχειριστή.
- Αντικαταστήστε μη υποστηριζόμενο υλικό. Συσκευές που δεν λαμβάνουν πλέον ενημερώσεις ασφαλείας δεν μπορούν να διορθωθούν όταν εμφανιστούν νέα σφάλματα.
- Ελέγξτε τα αρχεία καταγραφής και τις ρυθμίσεις για άγνωστους λογαριασμούς, αλλαγμένες ρυθμίσεις DNS ή μη αναμενόμενες προωθήσεις θυρών.
- Εάν εκτελείτε VMware ESX ή παρόμοια υποδομή, ακολουθήστε τις ανακοινώσεις ασφαλείας του κατασκευαστή και εφαρμόστε τις ενημερώσεις κώδικα άμεσα.
Οι επιτιθέμενοι χρησιμοποιούν επίσης όλο και περισσότερο αυτοματοποίηση για να κλιμακώσουν το έργο τους, όπως φαίνεται στα ευρήματα της Hunt.io για πράκτορες AI που τροφοδοτούν επιθέσεις σε όλη την Ασία, γεγονός που καθιστά την έγκαιρη ενημέρωση κώδικα πιο σημαντική, όχι λιγότερο.
Βασικά συμπεράσματα
Η εκστρατεία με το zero-day του VMware ESX είναι μια υπενθύμιση ότι η stealth δράση και η αλυσίδωση είναι πλέον στάνταρ για ικανούς επιτιθέμενους, και ότι οι συσκευές άκρου είναι πολύτιμοι στόχοι. Δεν μπορείτε να ελέγξετε αν υπάρχει ένα zero-day, αλλά μπορείτε να μειώσετε την έκθεσή σας: διατηρήστε το firmware ενημερωμένο, ενεργοποιήστε τις αυτόματες ενημερώσεις, κλειδώστε την απομακρυσμένη πρόσβαση και αποσύρετε μη υποστηριζόμενο εξοπλισμό. Αντιμετωπίστε ένα VPN ως ένα επίπεδο μεταξύ πολλών. Ξεκινήστε σήμερα ελέγχοντας την έκδοση firmware στο router ή το firewall σας.
