Egy nemrég jelentett kampány azt mutatja, hogyan kombinálják a támadók a VMware ESX nulladik napi sebezhetőségét más hibákkal, hogy behatoljanak a hálózatokat védő eszközökbe. A Help Net Security szerint a támadók kihasználták a VMware ESX nulladik napi sebezhetőségét, hogy elrejtsék a nyomaikat, majd a PHP2Shell hibákat egy Fragnesia nevű buggal láncolták össze tűzfalak feltörésére. A forrás címe a tevékenységet kínai hackereknek tulajdonítja.
A nyilvános összefoglaló rövid, ezért ez a bejegyzés ahhoz tartja magát, amit jelentettek, és elmagyarázza, miért fontos ez a nagyvállalatokon túl is.
Mit jelentettek a VMware ESX nulladik napi sebezhetőségről
Három elem emelkedik ki a jelentésből:
- Egy VMware ESX nulladik napi sebezhetőség. A nulladik napi sebezhetőség egy olyan hiba, amelyet a javítás elérhetővé válása előtt kihasználnak. Az ESX egy hipervizor, az a szoftver, amely virtuális gépeket futtat egy fizikai szerveren. A jelentés szerint a támadók ezt a hibát a nyomaik elrejtésére használták, vagyis segített elkerülniük az észlelést.
- PHP2Shell hibák. Ezeket egy másik buggal láncolták össze, hogy mélyebb ellenőrzést szerezzenek a tűzfalak felett.
- Fragnesia. A PHP2Shell-lel kombinálva ez a bug lehetővé tette a támadók számára, hogy „rootolják” a tűzfalakat, ami azt jelenti, hogy megszerezték az eszköz feletti legmagasabb szintű ellenőrzést.
A forrás összefoglalója nem ad további technikai részleteket, például az érintett verziókról vagy a javítás állapotáról, ezért az olvasóknak a szállítói tanácsokat kell ellenőrizniük a részletekért, nem pedig feltételezniük.
Miért támadják a támadók a tűzfalakat és a virtualizációs hosztokat
A tűzfalak és a hipervizorok kiváltságos pozícióban vannak. A tűzfal látja és ellenőrzi a forgalmat egy hálózat és az internet között. A hipervizor egyszerre több rendszert hosztol. Bármelyik kompromittálása olyan kilátóhelyet ad a támadónak, amelybe a hagyományos végpontvédelmi eszközök gyakran nem látnak bele, ami illeszkedik a kampány lopakodós témájához.
A láncolás szintén visszatérő minta. Ahelyett, hogy egyetlen bugra támaszkodnának, a támadók többet kapcsolnak össze, hogy a kezdeti hozzáféréstől a teljes ellenőrzésig jussanak. Hasonló viselkedést láttunk más jelentésekben is, beleértve a kínai UTA0565 hackerek Chrome és Windows nulladik napi sebezhetőségek láncolását és a Proofpoint jelentését a Kínához köthető csoportok nulladik napi sebezhetőségek kihasználásáért folytatott versenyéről. A közös szál a sebesség és a türelem: gyorsan kihasználni, majd csendben maradni.
Mit jelent ez Önnek
A legtöbb otthoni felhasználó nem futtat VMware ESX-et. De sok ember támaszkodik routerre vagy tűzfalra, és a kisvállalkozások gyakran olyan tűzfalberendezéseket üzemeltetnek, amelyek a hálózat peremén helyezkednek el. Egy kompromittált peremeszköz felfedheti a rajta áthaladó forgalmat, beleértve a böngészési tevékenységet és a titkosítatlan adatokat, és a támadók felhasználhatják ugródeszkaként más eszközök eléréséhez.
Ez nem ok a pánikra. A jelentés egy célzott kampányt ír le, és az összefoglalóban semmi nem utal arra, hogy a hétköznapi háztartásokat céloznák. Hasznos emlékeztető azonban arra, hogy a hálózatot védő eszköz maga is lehet a gyenge pont. A szélesebb körű államilag kapcsolt tevékenység egyéneket is érintett, mint a Kína által támogatott kémkedési kampány újságírók és aktivisták ellen, ezért az alapvető higiénia fontos a magasabb kockázati profillal rendelkező emberek számára.
A VPN hozzáadhat egy réteget azzal, hogy titkosítja a forgalmat az eszköze és a VPN-kiszolgáló között, ami korlátozza, hogy egy kompromittált helyi router mit láthat. Nem javítja meg a rootolt tűzfalat, és nem helyettesíti a javítást.
Mit ellenőrizhet saját routerén vagy tűzfalán
- Frissítse a firmware-t. Ellenőrizze az adminisztrációs oldalt vagy a gyártó webhelyét a legújabb verzióért, és telepítse.
- Kapcsolja be az automatikus frissítéseket, ha az eszköze támogatja őket.
- Tiltsa le a távoli adminisztrációt, hacsak valóban nincs rá szüksége, és kerülje az adminisztrációs oldalak internetre való kitételét.
- Változtassa meg az alapértelmezett hitelesítő adatokat, és használjon erős, egyedi adminisztrátori jelszót.
- Cserélje le a nem támogatott hardvert. A biztonsági frissítéseket már nem kapó eszközök nem javíthatók, amikor új hibák jelennek meg.
- Tekintse át a naplókat és beállításokat ismeretlen fiókok, megváltoztatott DNS-beállítások vagy váratlan porttovábbítások után kutatva.
- Ha VMware ESX-et vagy hasonló infrastruktúrát üzemeltet, kövesse a szállító biztonsági tanácsait, és haladéktalanul alkalmazza a javításokat.
A támadók egyre inkább automatizálást használnak munkájuk skálázására, amint azt a Hunt.io megállapításai az ázsiai szintű hackeléseket működtető AI-ügynökökről mutatják, ami még fontosabbá teszi az időben történő javítást, nem pedig kevésbé.
Kulcsfontosságú tanulságok
A VMware ESX nulladik napi sebezhetőség kampánya emlékeztető arra, hogy a lopakodás és a láncolás mára standard a képzett támadók számára, és hogy a peremeszközök értékes célpontok. Nem irányíthatja, hogy létezik-e nulladik napi sebezhetőség, de lerövidítheti a kitettségét: tartsa naprakészen a firmware-t, engedélyezze az automatikus frissítéseket, zárja le a távoli hozzáférést, és vonja ki a nem támogatott eszközöket. Kezelje a VPN-t egy rétegként a többiek között. Kezdje ma azzal, hogy ellenőrzi a firmware verzióját a routerén vagy tűzfalán.
