Недавно опубликованная кампания показывает, как злоумышленники комбинируют ноль-дневную уязвимость VMware ESX с другими брешами, чтобы проникнуть в устройства, защищающие сети. Согласно Help Net Security, злоумышленники эксплуатировали ноль-дневную уязвимость VMware ESX, чтобы замести следы, а затем объединили в цепочку уязвимости PHP2Shell с багом под названием Fragnesia, чтобы получить root-доступ к межсетевым экранам. В заголовке источника эта активность приписывается китайским хакерам.

Публичное резюме короткое, поэтому этот пост опирается только на то, что было сообщено, и объясняет, почему это важно за пределами крупных предприятий.

Что было сообщено о ноль-дневной уязвимости VMware ESX

В отчёте выделяются три элемента:

  • Ноль-дневная уязвимость VMware ESX. Ноль-дневная уязвимость — это брешь, эксплуатируемая до появления исправления. ESX — это гипервизор, программное обеспечение, которое запускает виртуальные машины на физическом сервере. Согласно отчёту, злоумышленники использовали эту уязвимость, чтобы замести следы, то есть она помогала им избегать обнаружения.
  • Уязвимости PHP2Shell. Они были объединены в цепочку с другим багом для получения более глубокого контроля над межсетевыми экранами.
  • Fragnesia. В сочетании с PHP2Shell этот баг позволил злоумышленникам получить root-доступ к межсетевым экранам, то есть получить наивысший уровень контроля над устройством.

В резюме источника не приводится дальнейших технических подробностей, таких как затронутые версии или статус исправлений, поэтому читателям следует обращаться к рекомендациям производителей за конкретикой, а не делать предположения.

Почему злоумышленники атакуют межсетевые экраны и хосты виртуализации

Межсетевые экраны и гипервизоры занимают привилегированное положение. Межсетевой экран видит и контролирует трафик между сетью и интернетом. Гипервизор одновременно размещает множество систем. Компрометация любого из них даёт злоумышленнику точку обзора, в которую обычные инструменты защиты конечных точек часто не могут заглянуть, что соответствует теме скрытности этой кампании.

Объединение в цепочку также является повторяющейся схемой. Вместо того чтобы полагаться на один баг, злоумышленники связывают несколько, чтобы перейти от первоначального доступа к полному контролю. Мы видели похожее поведение в других отчётах, включая китайских хакеров UTA0565, объединяющих в цепочку ноль-дневные уязвимости Chrome и Windows и отчёт Proofpoint о группах, связанных с Китаем, которые наперегонки эксплуатируют ноль-дневные уязвимости. Общая нить — скорость и терпение: быстро эксплуатировать, затем оставаться незаметными.

Что это значит для вас

Большинство домашних пользователей не запускают VMware ESX. Но многие люди полагаются на роутер или межсетевой экран, а малые предприятия часто используют устройства межсетевых экранов, расположенные на границе сети. Скомпрометированное граничное устройство может раскрыть проходящий через него трафик, включая активность в браузере и незашифрованные данные, а злоумышленники могут использовать его как плацдарм для доступа к другим устройствам.

Это не повод для паники. В отчёте описывается целевая кампания, и ничто в резюме не указывает на то, что обычные домохозяйства выделяются как цель. Однако это полезное напоминание о том, что устройство, защищающее вашу сеть, само может быть слабым местом. Более широкая активность, связанная с государственными структурами, также затрагивала частных лиц, как в случае кампании шпионажа при поддержке Китая против журналистов и активистов, поэтому базовая гигиена важна для людей с повышенным профилем риска.

VPN может добавить уровень защиты, шифруя трафик между вашим устройством и VPN-сервером, что ограничивает то, что может видеть скомпрометированный локальный роутер. Он не исправляет межсетевой экран с root-доступом и не заменяет установку исправлений.

Что вы можете проверить на своём роутере или межсетевом экране

  1. Обновите прошивку. Проверьте страницу администрирования или сайт производителя на наличие последней версии и установите её.
  2. Включите автоматические обновления, если ваше устройство их поддерживает.
  3. Отключите удалённое администрирование, если оно вам действительно не нужно, и избегайте раскрытия страниц управления в интернете.
  4. Смените учётные данные по умолчанию и используйте надёжный, уникальный пароль администратора.
  5. Замените неподдерживаемое оборудование. Устройства, которые больше не получают обновления безопасности, невозможно исправить при появлении новых уязвимостей.
  6. Проверьте журналы и настройки на наличие незнакомых учётных записей, изменённых настроек DNS или неожиданных перенаправлений портов.
  7. Если вы запускаете VMware ESX или аналогичную инфраструктуру, следуйте рекомендациям производителя по безопасности и своевременно применяйте исправления.

Злоумышленники также всё чаще используют автоматизацию для масштабирования своей работы, как видно из находок Hunt.io об ИИ-агентах, обеспечивающих атаки по всей Азии, что делает своевременную установку исправлений более важной, а не менее.

Ключевые выводы

Кампания с использованием ноль-дневной уязвимости VMware ESX — напоминание о том, что скрытность и объединение в цепочки теперь стали стандартом для квалифицированных злоумышленников, а граничные устройства являются ценными целями. Вы не можете контролировать, существует ли ноль-дневная уязвимость, но вы можете сократить свою подверженность риску: поддерживайте прошивку в актуальном состоянии, включайте автоматические обновления, ограничивайте удалённый доступ и выводите из эксплуатации неподдерживаемое оборудование. Относитесь к VPN как к одному из нескольких уровней защиты. Начните сегодня с проверки версии прошивки на вашем роутере или межсетевом экране.