แคมเปญที่เพิ่งได้รับการรายงานเผยให้เห็นว่าแฮกเกอร์กำลังผสมผสานช่องโหว่ゼロเดย์ VMware ESX เข้ากับช่องโหว่อื่นๆ เพื่อเจาะเข้าสู่อุปกรณ์ที่ปกป้องเครือข่าย ตามรายงานของ Help Net Security แฮกเกอร์ได้ใช้ประโยชน์จากช่องโหว่ゼロเดย์ VMware ESX เพื่อปกปิดร่องรอยของตน จากนั้นจึงเชื่อมโยงช่องโหว่ PHP2Shell เข้ากับบั๊กที่ชื่อ Fragnesia เพื่อยึดไฟร์วอลล์ พาดหัวข่าวต้นฉบับระบุว่ากิจกรรมนี้เป็นฝีมือของแฮกเกอร์ชาวจีน
บทสรุปสาธารณะนั้นสั้น ดังนั้นโพสต์นี้จึงยึดตามสิ่งที่ได้รับการรายงานและอธิบายว่าทำไมเรื่องนี้จึงสำคัญเกินกว่าองค์กรขนาดใหญ่
สิ่งที่ได้รับการรายงานเกี่ยวกับช่องโหว่ゼロเดย์ VMware ESX
มีสามองค์ประกอบที่โดดเด่นจากรายงาน:
- ช่องโหว่ゼロเดย์ VMware ESX ゼロเดย์คือช่องโหว่ที่ถูกใช้ประโยชน์ก่อนที่จะมีแพตช์ ESX คือไฮเปอร์ไวเซอร์ ซอฟต์แวร์ที่รันเครื่องเสมือนบนเซิร์ฟเวอร์ทางกายภาพ ตามรายงาน แฮกเกอร์ใช้ช่องโหว่นี้เพื่อปกปิดร่องรอย ซึ่งหมายความว่ามันช่วยให้พวกเขาหลบเลี่ยงการตรวจจับ
- ช่องโหว่ PHP2Shell สิ่งเหล่านี้ถูกเชื่อมโยงกับบั๊กอื่นเพื่อให้ได้การควบคุมไฟร์วอลล์ในระดับที่ลึกขึ้น
- Fragnesia เมื่อรวมกับ PHP2Shell บั๊กนี้ทำให้แฮกเกอร์สามารถ "รูท" ไฟร์วอลล์ ซึ่งหมายถึงการได้ระดับการควบคุมสูงสุดเหนืออุปกรณ์
บทสรุปต้นฉบับไม่ได้ให้รายละเอียดทางเทคนิคเพิ่มเติม เช่น เวอร์ชันที่ได้รับผลกระทบหรือสถานะแพตช์ ดังนั้นผู้อ่านควรตรวจสอบคำแนะนำจากผู้จำหน่ายสำหรับข้อมูลเฉพาะเจาะจงแทนการสันนิษฐาน
ทำไมแฮกเกอร์จึงมุ่งเป้าไปที่ไฟร์วอลล์และโฮสต์เวอร์ชวลไลเซชัน
ไฟร์วอลล์และไฮเปอร์ไวเซอร์อยู่ในตำแหน่งที่มีสิทธิพิเศษ ไฟร์วอลล์มองเห็นและควบคุมการรับส่งข้อมูลระหว่างเครือข่ายและอินเทอร์เน็ต ไฮเปอร์ไวเซอร์โฮสต์ระบบหลายระบบในเวลาเดียวกัน การบุกรุกอย่างใดอย่างหนึ่งทำให้แฮกเกอร์ได้จุดได้เปรียบที่เครื่องมือรักษาความปลอดภัยปลายทางทั่วไปมักมองไม่เห็น ซึ่งสอดคล้องกับธีมการหลบซ่อนของแคมเปญนี้
การเชื่อมโยงช่องโหว่ยังเป็นรูปแบบที่เกิดซ้ำ แทนที่จะพึ่งพาบั๊กเดียว แฮกเกอร์เชื่อมโยงหลายตัวเพื่อเคลื่อนจากการเข้าถึงเริ่มต้นไปสู่การควบคุมเต็มรูปแบบ เราได้เห็นพฤติกรรมคล้ายกันในรายงานอื่นๆ รวมถึงแฮกเกอร์จีน UTA0565 เชื่อมโยงช่องโหว่ゼロเดย์ Chrome และ Windows และรายงานของ Proofpoint เกี่ยวกับกลุ่มที่สนับสนุนจีนที่แข่งขันกันใช้ประโยชน์จากช่องโหว่ゼロเดย์ ด้ายที่เชื่อมโยงกันคือความรวดเร็วและความอดทน ใช้ประโยชน์อย่างรวดเร็ว แล้วเงียบไว้
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
ผู้ใช้ตามบ้านส่วนใหญ่ไม่ได้รัน VMware ESX แต่หลายคนพึ่งพาเราเตอร์หรือไฟร์วอลล์ และธุรกิจขนาดเล็กมักใช้อุปกรณ์ไฟร์วอลล์ที่อยู่ที่ขอบเครือข่าย อุปกรณ์ขอบที่ถูกบุกรุกสามารถเปิดเผยการรับส่งข้อมูลที่ผ่านอุปกรณ์นั้น รวมถึงกิจกรรมการท่องเว็บและข้อมูลที่ไม่เข้ารหัส และแฮกเกอร์สามารถใช้มันเป็นฐานที่มั่นเพื่อเข้าถึงอุปกรณ์อื่นๆ
นี่ไม่ใช่เหตุผลที่จะตื่นตระหนก รายงานอธิบายถึงแคมเปญที่กำหนดเป้าหมายเฉพาะ และไม่มีสิ่งใดในบทสรุปที่บ่งชี้ว่าครัวเรือนทั่วไปกำลังถูกเพ่งเล็ง อย่างไรก็ตาม มันเป็นการเตือนที่มีประโยชน์ว่าอุปกรณ์ที่ปกป้องเครือข่ายของคุณอาจเป็นจุดอ่อนเสียเอง กิจกรรมที่เชื่อมโยงกับรัฐในวงกว้างยังส่งผลกระทบต่อบุคคลด้วย ดังในแคมเปญจารกรรมที่สนับสนุนโดยจีนต่อนักข่าวและนักเคลื่อนไหว ดังนั้นสุขอนามัยพื้นฐานจึงสำคัญสำหรับผู้ที่มีโปรไฟล์ความเสี่ยงสูงกว่า
VPN สามารถเพิ่มชั้นการป้องกันได้โดยการเข้ารหัสการรับส่งข้อมูลระหว่างอุปกรณ์ของคุณและเซิร์ฟเวอร์ VPN ซึ่งจำกัดสิ่งที่เราเตอร์ท้องถิ่นที่ถูกบุกรุกสามารถมองเห็นได้ มันไม่ได้แก้ไขไฟร์วอลล์ที่ถูกรูท และไม่ได้แทนที่การแพตช์
สิ่งที่คุณสามารถตรวจสอบบนเราเตอร์หรือไฟร์วอลล์ของคุณเอง
- อัปเดตเฟิร์มแวร์ ตรวจสอบหน้าผู้ดูแลระบบหรือเว็บไซต์ของผู้ผลิตสำหรับเวอร์ชันล่าสุด และติดตั้ง
- เปิดการอัปเดตอัตโนมัติ หากอุปกรณ์ของคุณรองรับ
- ปิดการจัดการระยะไกล เว้นแต่คุณต้องการจริงๆ และหลีกเลี่ยงการเปิดเผยหน้าจัดการสู่อินเทอร์เน็ต
- เปลี่ยนข้อมูลรับรองเริ่มต้น และใช้รหัสผ่านผู้ดูแลระบบที่แข็งแกร่งและไม่ซ้ำใคร
- เปลี่ยนฮาร์ดแวร์ที่ไม่ได้รับการสนับสนุน อุปกรณ์ที่ไม่ได้รับการอัปเดตความปลอดภัยอีกต่อไปไม่สามารถแก้ไขได้เมื่อช่องโหว่ใหม่ปรากฏขึ้น
- ตรวจสอบบันทึกและการตั้งค่า สำหรับบัญชีที่ไม่คุ้นเคย การตั้งค่า DNS ที่เปลี่ยนแปลง หรือการส่งต่อพอร์ตที่ไม่คาดคิด
- หากคุณรัน VMware ESX หรือโครงสร้างพื้นฐานที่คล้ายกัน ให้ปฏิบัติตามคำแนะนำด้านความปลอดภัยของผู้จำหน่ายและใช้แพตช์ทันที
แฮกเกอร์ยังใช้ระบบอัตโนมัติมากขึ้นในการขยายงานของตน ดังที่เห็นในการค้นพบของ Hunt.io เกี่ยวกับเอเจนต์ AI ที่ขับเคลื่อนการแฮกในทั่วเอเชีย ซึ่งทำให้การแพตช์อย่างทันท่วงทีสำคัญยิ่งขึ้น ไม่ใช่ลดลง
ประเด็นสำคัญ
แคมเปญช่องโหว่ゼロเดย์ VMware ESX เป็นการเตือนว่าการหลบซ่อนและการเชื่อมโยงช่องโหว่กลายเป็นมาตรฐานสำหรับแฮกเกอร์ที่มีความสามารถ และอุปกรณ์ขอบเป็นเป้าหมายที่มีคุณค่า คุณไม่สามารถควบคุมได้ว่าช่องโหว่ゼロเดย์จะมีอยู่หรือไม่ แต่คุณสามารถลดระยะเวลาการเปิดเผยของคุณได้: รักษาเฟิร์มแวร์ให้เป็นปัจจุบัน เปิดการอัปเดตอัตโนมัติ ล็อกการเข้าถึงระยะไกล และเลิกใช้อุปกรณ์ที่ไม่ได้รับการสนับสนุน มอง VPN เป็นหนึ่งในหลายชั้น เริ่มวันนี้โดยตรวจสอบเวอร์ชันเฟิร์มแวร์บนเราเตอร์หรือไฟร์วอลล์ของคุณ
