Novo izvješćena kampanja pokazuje kako napadači kombiniraju VMware ESX zero-day s drugim ranjivostima kako bi provalili u uređaje koji čuvaju mreže. Prema Help Net Security, napadači su iskoristili VMware ESX zero-day kako bi sakrili svoje tragove, a zatim su povezali PHP2Shell ranjivosti s bugom zvanim Fragnesia kako bi preuzeli root kontrolu nad vatrozidima. Naslov izvora aktivnost pripisuje kineskim hakerima.

Javni sažetak je kratak, pa se ovaj post drži onoga što je izvješćeno i objašnjava zašto je to važno izvan velikih poduzeća.

Što je izvješćeno o VMware ESX zero-day ranjivosti

Tri elementa ističu se iz izvješća:

  • VMware ESX zero-day. Zero-day je ranjivost koja se iskorištava prije nego što je dostupna zakrpa. ESX je hipervizor, softver koji pokreće virtualne strojeve na fizičkom poslužitelju. Prema izvješću, napadači su iskoristili ovu ranjivost kako bi sakrili svoje tragove, što znači da im je pomogla izbjeći otkrivanje.
  • PHP2Shell ranjivosti. One su povezane s drugim bugom kako bi stekli dublju kontrolu nad vatrozidima.
  • Fragnesia. U kombinaciji s PHP2Shell, ovaj bug omogućio je napadačima da "rootaju" vatrozide, što znači stjecanje najviše razine kontrole nad uređajem.

Sažetak izvora ne daje daljnje tehničke pojedinosti, poput zahvaćenih verzija ili statusa zakrpa, pa bi čitatelji trebali provjeriti savjete proizvođača za pojedinosti umjesto da pretpostavljaju.

Zašto napadači ciljaju vatrozide i hostove za virtualizaciju

Vatrozidi i hipervizori nalaze se na privilegiranim pozicijama. Vatrozid vidi i kontrolira promet između mreže i interneta. Hipervizor hosta mnoge sustave odjednom. Kompromitiranje bilo kojeg od njih daje napadaču vidikovac u koji uobičajeni alati za sigurnost krajnjih točaka često ne mogu zaviriti, što odgovara temi prikrivenosti ove kampanje.

Lančano povezivanje također je uzorak koji se ponavlja. Umjesto oslanjanja na jedan bug, napadači povezuju nekoliko njih kako bi prešli od početnog pristupa do pune kontrole. Slično ponašanje vidjeli smo u drugim izvješćima, uključujući kineske UTA0565 hakere koji lančano iskorištavaju Chrome i Windows zero-day ranjivosti i Proofpointovo izvješće o grupama povezanima s Kinom koje žure iskorištavati zero-day ranjivosti. Zajednička nit je brzina i strpljenje: iskoristiti brzo, zatim ostati tih.

Što to znači za vas

Većina kućnih korisnika ne pokreće VMware ESX. Ali mnogi se ljudi oslanjaju na usmjerivač ili vatrozid, a mala poduzeća često koriste vatrozidne uređaje koji se nalaze na rubu mreže. Kompromitirani rubni uređaj može izložiti promet koji kroz njega prolazi, uključujući aktivnost pregledavanja i nešifrirane podatke, a napadači ga mogu koristiti kao uporište za dosezanje drugih uređaja.

To nije razlog za paniku. Izvješće opisuje ciljanu kampanju i ništa u sažetku ne sugerira da su obična kućanstva posebno izdvojena. Međutim, to je koristan podsjetnik da uređaj koji štiti vašu mrežu i sam može biti slaba točka. Šira aktivnost povezana s državom također je zahvatila pojedince, kao u kampanji špijunaže podržanoj od Kine protiv novinara i aktivista, pa je osnovna higijena važna za ljude s višim profilom rizika.

VPN može dodati sloj šifriranjem prometa između vašeg uređaja i VPN poslužitelja, što ograničava što kompromitirani lokalni usmjerivač može vidjeti. Ne popravlja rootani vatrozid i ne zamjenjuje zakrpe.

Što možete provjeriti na svom usmjerivaču ili vatrozidu

  1. Ažurirajte firmware. Provjerite administratorsku stranicu ili web-stranicu proizvođača za najnoviju verziju i instalirajte je.
  2. Uključite automatska ažuriranja ako ih vaš uređaj podržava.
  3. Onemogućite daljinsku administraciju osim ako vam je doista potrebna i izbjegavajte izlaganje upravljačkih stranica internetu.
  4. Promijenite zadane vjerodajnice i koristite jaku, jedinstvenu administratorsku lozinku.
  5. Zamijenite nepodržani hardver. Uređaji koji više ne dobivaju sigurnosna ažuriranja ne mogu se popraviti kada se pojave nove ranjivosti.
  6. Pregledajte zapisnike i postavke za nepoznate račune, promijenjene DNS postavke ili neočekivana preusmjeravanja portova.
  7. Ako pokrećete VMware ESX ili sličnu infrastrukturu, slijedite sigurnosne savjete proizvođača i pravovremeno primijenite zakrpe.

Napadači također sve više koriste automatizaciju za skaliranje svog rada, kao što se vidi u Hunt.io nalazima o AI agentima koji pokreću hakiranja diljem Azije, što pravovremeno zakrpanje čini važnijim, a ne manje važnim.

Ključni zaključci

Kampanja VMware ESX zero-day podsjetnik je da su prikrivenost i lančano povezivanje sada standard za sposobne napadače i da su rubni uređaji vrijedne mete. Ne možete kontrolirati postoji li zero-day, ali možete skratiti svoju izloženost: održavajte firmware ažurnim, omogućite automatska ažuriranja, zaključajte daljinski pristup i umirovite nepodržanu opremu. Tretirajte VPN kao jedan sloj među nekoliko. Počnite danas provjerom verzije firmwarea na svom usmjerivaču ili vatrozidu.