Äskettäin raportoitu kampanja osoittaa, kuinka hyökkääjät yhdistävät VMware ESX -nollapäivän muihin haavoittuvuuksiin murtautuakseen laitteisiin, jotka suojaavat verkkoja. Help Net Securityn mukaan hyökkääjät hyödynsivät VMware ESX -nollapäivää jälkiensä peittämiseen ja ketjuttivat sitten PHP2Shell-haavoittuvuudet Fragnesia-nimiseen bugiin rootatakseen palomuureja. Lähteen otsikko yhdistää toiminnan kiinalaisiin hakkerеihin.

Julkinen yhteenveto on lyhyt, joten tämä kirjoitus pitäytyy siinä, mitä on raportoitu, ja selittää, miksi asialla on merkitystä suuryritysten ulkopuolellakin.

Mitä VMware ESX -nollapäivästä raportoitiin

Raportista erottuu kolme keskeistä seikkaa:

  • VMware ESX -nollapäivä. Nollapäivä on haavoittuvuus, jota hyödynnetään ennen kuin korjaus on saatavilla. ESX on hypervisori, ohjelmisto, joka pyörittää virtuaalikoneita fyysisellä palvelimella. Raportin mukaan hyökkääjät käyttivät tätä haavoittuvuutta jälkiensä peittämiseen, eli se auttoi heitä välttämään havaitsemisen.
  • PHP2Shell-haavoittuvuudet. Nämä ketjutettiin toisen bugin kanssa syvemmän hallinnan saamiseksi palomuureista.
  • Fragnesia. Yhdessä PHP2Shellin kanssa tämä bugi antoi hyökkääjien "rootata" palomuurit, eli saada laitteesta korkein mahdollinen hallintataso.

Lähteen yhteenveto ei anna tarkempia teknisiä tietoja, kuten vaikutettuja versioita tai korjausten tilaa, joten lukijoiden kannattaa tarkistaa yksityiskohdat toimittajien turvatiedotteista sen sijaan että olettaisivat.

Miksi hyökkääjät tavoittelevat palomuureja ja virtualisointi-isäntiä

Palomuurit ja hypervisorit sijaitsevat etuoikeutetuissa asemissa. Palomuuri näkee ja hallitsee liikennettä verkon ja internetin välillä. Hypervisori isännöi monia järjestelmiä kerralla. Kummankaan vaarantaminen antaa hyökkääjälle näköalapaikan, johon tavalliset päätelaitteiden tietoturvatyökalut eivät usein näe, mikä sopii tämän kampanjan hämäryysteemaan.

Ketjuttaminen on myös toistuva kaava. Sen sijaan että hyökkääjät luottaisivat yhteen bugiin, he yhdistävät useita siirtyäkseen alkuperäisestä pääsystä täyteen hallintaan. Olemme nähneet samankaltaista toimintaa muissakin raporteissa, mukaan lukien kiinalaiset UTA0565-hakkerit ketjuttavat Chrome- ja Windows-nollapäiviä ja Proofpointin raportti Kiinaan kytkeytyvistä ryhmistä, jotka kilpailevat nollapäivien hyödyntämisessä. Yhteinen tekijä on nopeus ja kärsivällisyys: hyödynnä nopeasti ja pysy sitten hiljaa.

Mitä tämä tarkoittaa sinulle

Useimmat kotikäyttäjät eivät pyöritä VMware ESXiä. Mutta monet luottavat reitittimeen tai palomuuriin, ja pienyritykset käyttävät usein palomuurilaitteita, jotka sijaitsevat verkon reunalla. Vaarantunut reunalaite voi paljastaa sen läpi kulkevan liikenteen, mukaan lukien selailutoiminnan ja salaamattomat tiedot, ja hyökkääjät voivat käyttää sitä tukikohtana muiden laitteiden saavuttamiseksi.

Tämä ei ole syy paniikkiin. Raportti kuvaa kohdennettua kampanjaa, eikä mikään yhteenvedossa viittaa siihen, että tavalliset kotitaloudet olisivat erityisesti kohteena. Se on kuitenkin hyödyllinen muistutus siitä, että verkkoasi suojaava laite voi itsessään olla heikko kohta. Laajempi valtioon kytkeytyvä toiminta on vaikuttanut myös yksityishenkilöihin, kuten Kiinan tukemassa vakoilukampanjassa toimittajia ja aktivisteja vastaan, joten perushygienia on tärkeää henkilöille, joilla on korkeampi riskiprofiili.

VPN voi lisätä kerroksen salaamalla liikenteen laitteesi ja VPN-palvelimen välillä, mikä rajoittaa sitä, mitä vaarantunut paikallinen reititin voi nähdä. Se ei korjaa rootattua palomuuria eikä korvaa päivitysten asentamista.

Mitä voit tarkistaa omasta reitittimestäsi tai palomuuristasi

  1. Päivitä laiteohjelmisto. Tarkista hallintasivulta tai valmistajan sivustolta uusin versio ja asenna se.
  2. Ota automaattiset päivitykset käyttöön, jos laitteesi tukee niitä.
  3. Poista etähallinta käytöstä, ellet todella tarvitse sitä, ja vältä hallintasivujen altistamista internetille.
  4. Vaihda oletustunnukset ja käytä vahvaa, yksilöllistä ylläpitäjän salasanaa.
  5. Vaihda tuetuton laitteisto. Laitteita, jotka eivät enää saa tietoturvapäivityksiä, ei voida korjata, kun uusia haavoittuvuuksia ilmaantuu.
  6. Tarkista lokit ja asetukset tuntemattomien tilien, muutettujen DNS-asetusten tai odottamattomien porttiohjauksien varalta.
  7. Jos pyörität VMware ESXiä tai vastaavaa infrastruktuuria, seuraa toimittajan turvatiedotteita ja asenna korjaukset viipymättä.

Hyökkääjät käyttävät myös yhä enemmän automaatiota työnsä skaalaamiseen, kuten Hunt.io:n havainnoissa tekoälyagenttien voimaannuttamista koko Aasian laajuisista hyökkäyksistä todetaan, mikä tekee oikea-aikaisesta päivittämisestä entistä tärkeämpää.

Keskeiset johtopäätökset

VMware ESX -nollapäiväkampanja on muistutus siitä, että hämäryys ja ketjuttaminen ovat nyt vakiotoimintatapoja kyvykkäille hyökkääjille ja että reunalaiteet ovat arvokkaita kohteita. Et voi hallita sitä, onko nollapäivä olemassa, mutta voit lyhentää altistumistasi: pidä laiteohjelmisto ajan tasalla, ota automaattiset päivitykset käyttöön, lukitse etäkäyttö ja poista tuetuton laitteisto käytöstä. Käsittele VPN:ää yhtenä kerroksena muiden joukossa. Aloita tänään tarkistamalla reitittimesi tai palomuurisi laiteohjelmistoversio.