Una campagna recentemente segnalata mostra come gli attaccanti stiano combinando uno zero-day di VMware ESX con altre vulnerabilità per violare i dispositivi che proteggono le reti. Secondo Help Net Security, gli attaccanti hanno sfruttato lo zero-day di VMware ESX per nascondere le proprie tracce, per poi concatenare le vulnerabilità PHP2Shell con un bug chiamato Fragnesia per compromettere i firewall. Il titolo della fonte attribuisce l'attività a hacker cinesi.

Il riassunto pubblico è breve, quindi questo post si attiene a quanto è stato riportato e spiega perché è importante al di là delle grandi imprese.

Cosa è stato riportato sullo zero-day di VMware ESX

Tre elementi emergono dal rapporto:

  • Uno zero-day di VMware ESX. Uno zero-day è una vulnerabilità sfruttata prima che sia disponibile una correzione. ESX è un hypervisor, il software che esegue macchine virtuali su un server fisico. Secondo il rapporto, gli attaccanti hanno usato questa vulnerabilità per nascondere le proprie tracce, il che significa che li ha aiutati a evitare il rilevamento.
  • Vulnerabilità PHP2Shell. Queste sono state concatenate con un altro bug per ottenere un controllo più profondo dei firewall.
  • Fragnesia. Combinato con PHP2Shell, questo bug ha permesso agli attaccanti di "rootare" i firewall, il che significa ottenere il massimo livello di controllo sul dispositivo.

Il riassunto della fonte non fornisce ulteriori dettagli tecnici, come le versioni interessate o lo stato delle patch, quindi i lettori dovrebbero consultare gli avvisi dei fornitori per i dettagli specifici invece di dare per scontato.

Perché gli attaccanti prendono di mira firewall e host di virtualizzazione

I firewall e gli hypervisor occupano posizioni privilegiate. Un firewall vede e controlla il traffico tra una rete e internet. Un hypervisor ospita molti sistemi contemporaneamente. Compromettere l'uno o l'altro offre all'attaccante un punto di osservazione in cui gli strumenti di sicurezza degli endpoint ordinari spesso non riescono a vedere, il che si adatta al tema della furtività di questa campagna.

La concatenazione è anche un modello ricorrente. Invece di affidarsi a un solo bug, gli attaccanti ne collegano diversi per passare dall'accesso iniziale al controllo completo. Abbiamo visto comportamenti simili in altri rapporti, tra cui gli hacker cinesi UTA0565 che concatenano zero-day di Chrome e Windows e un rapporto di Proofpoint su gruppi allineati alla Cina che corrono a sfruttare gli zero-day. Il filo conduttore è velocità e pazienza: sfruttare rapidamente, poi restare silenziosi.

Cosa significa per te

La maggior parte degli utenti domestici non esegue VMware ESX. Ma molte persone si affidano a un router o a un firewall, e le piccole imprese spesso utilizzano appliance firewall che si trovano al bordo della rete. Un dispositivo perimetrale compromesso può esporre il traffico che lo attraversa, incluse l'attività di navigazione e i dati non crittografati, e gli attaccanti possono usarlo come punto d'appoggio per raggiungere altri dispositivi.

Questa non è una ragione per farsi prendere dal panico. Il rapporto descrive una campagna mirata, e nulla nel riassunto suggerisce che le famiglie comuni siano prese di mira. È tuttavia un promemoria utile che il dispositivo che protegge la tua rete può esso stesso essere il punto debole. Attività più ampie legate a Stati hanno colpito anche individui, come nella campagna di spionaggio sostenuta dalla Cina contro giornalisti e attivisti, quindi l'igiene di base è importante per le persone con profili di rischio più elevati.

Una VPN può aggiungere un livello crittografando il traffico tra il tuo dispositivo e il server VPN, il che limita ciò che un router locale compromesso può vedere. Non risolve un firewall compromesso e non sostituisce l'applicazione delle patch.

Cosa puoi verificare sul tuo router o firewall

  1. Aggiorna il firmware. Controlla la pagina di amministrazione o il sito del produttore per la versione più recente e installala.
  2. Attiva gli aggiornamenti automatici se il tuo dispositivo li supporta.
  3. Disabilita l'amministrazione remota a meno che tu non ne abbia davvero bisogno, ed evita di esporre le pagine di gestione a internet.
  4. Cambia le credenziali predefinite e usa una password di amministrazione forte e unica.
  5. Sostituisci l'hardware non supportato. I dispositivi che non ricevono più aggiornamenti di sicurezza non possono essere corretti quando emergono nuove vulnerabilità.
  6. Esamina i log e le impostazioni per account sconosciuti, impostazioni DNS modificate o inoltri di porte inaspettati.
  7. Se esegui VMware ESX o infrastrutture simili, segui gli avvisi di sicurezza del fornitore e applica le patch tempestivamente.

Gli attaccanti stanno anche usando sempre più l'automazione per scalare il proprio lavoro, come visto nelle scoperte di Hunt.io sugli agenti AI che alimentano attacchi in tutta l'Asia, il che rende l'applicazione tempestiva delle patch più importante, non meno.

Punti chiave

La campagna dello zero-day di VMware ESX è un promemoria che furtività e concatenazione sono ormai standard per gli attaccanti capaci, e che i dispositivi perimetrali sono obiettivi preziosi. Non puoi controllare se esiste uno zero-day, ma puoi ridurre la tua esposizione: mantieni il firmware aggiornato, abilita gli aggiornamenti automatici, blocca l'accesso remoto e dismetti le apparecchiature non supportate. Tratta una VPN come uno strato tra diversi. Inizia oggi controllando la versione del firmware sul tuo router o firewall.