Нещодавно повідомлена кампанія демонструє, як зловмисники поєднують zero-day у VMware ESX з іншими вразливостями, щоб зламати пристрої, які захищають мережі. Згідно з Help Net Security, зловмисники використали zero-day у VMware ESX, щоб приховати свої сліди, а потім об'єднали вразливості PHP2Shell з помилкою під назвою Fragnesia, щоб отримати root-доступ до фаєрволів. У заголовку джерела цю активність приписують китайським хакерам.

Публічне резюме коротке, тому цей пост обмежується тим, про що було повідомлено, і пояснює, чому це важливо не лише для великих підприємств.

Що повідомлялося про zero-day у VMware ESX

У звіті вирізняються три елементи:

  • Zero-day у VMware ESX. Zero-day — це вразливість, яку експлуатують до появи виправлення. ESX — це гіпервізор, програмне забезпечення, яке запускає віртуальні машини на фізичному сервері. Згідно зі звітом, зловмисники використали цю вразливість, щоб приховати свої сліди, тобто вона допомогла їм уникнути виявлення.
  • Вразливості PHP2Shell. Їх об'єднали з іншою помилкою, щоб отримати глибший контроль над фаєрволами.
  • Fragnesia. У поєднанні з PHP2Shell ця помилка дозволила зловмисникам отримати "root" на фаєрволах, тобто найвищий рівень контролю над пристроєм.

Резюме джерела не наводить подальших технічних деталей, як-от уражені версії чи статус виправлень, тому читачам слід перевіряти рекомендації постачальників щодо конкретики, а не робити припущення.

Чому зловмисники полюють на фаєрволи та хости віртуалізації

Фаєрволи та гіпервізори займають привілейовані позиції. Фаєрвол бачить і контролює трафік між мережею та інтернетом. Гіпервізор розміщує багато систем одночасно. Компрометація будь-якого з них дає зловмиснику точку огляду, в яку звичайні інструменти захисту кінцевих точок часто не бачать, що відповідає темі скритності цієї кампанії.

Ланцюгування також є повторюваною схемою. Замість того, щоб покладатися на одну помилку, зловмисники з'єднують кілька, щоб перейти від початкового доступу до повного контролю. Ми бачили подібну поведінку в інших повідомленнях, зокрема китайські хакери UTA0565 об'єднують zero-day у Chrome і Windows та звіт Proofpoint про групи, пов'язані з Китаєм, які наввипередки експлуатують zero-day. Спільна риса — швидкість і терпіння: експлуатувати швидко, потім діяти тихо.

Що це означає для вас

Більшість домашніх користувачів не запускають VMware ESX. Але багато людей покладаються на маршрутизатор або фаєрвол, а малий бізнес часто використовує пристрої фаєрволів, що стоять на межі мережі. Скомпрометований граничний пристрій може розкрити трафік, що проходить через нього, зокрема активність перегляду та незашифровані дані, а зловмисники можуть використати його як плацдарм для доступу до інших пристроїв.

Це не привід для паніки. У звіті описано цільову кампанію, і ніщо в резюме не свідчить про те, що звичайні домогосподарства виокремлюються. Однак це корисне нагадування про те, що пристрій, який захищає вашу мережу, сам може бути слабким місцем. Ширша активність, пов'язана з державами, також торкалася окремих осіб, як у кампанії шпигунства за підтримки Китаю проти журналістів та активістів, тому базова гігієна важлива для людей із вищим профілем ризику.

VPN може додати рівень захисту, шифруючи трафік між вашим пристроєм і VPN-сервером, що обмежує те, що може бачити скомпрометований локальний маршрутизатор. Він не виправляє фаєрвол із root-доступом і не замінює патчі.

Що ви можете перевірити на своєму маршрутизаторі чи фаєрволі

  1. Оновіть прошивку. Перевірте сторінку адміністрування або сайт виробника на наявність останньої версії та встановіть її.
  2. Увімкніть автоматичні оновлення, якщо ваш пристрій їх підтримує.
  3. Вимкніть віддалене адміністрування, якщо воно вам справді не потрібне, і уникайте відкриття сторінок керування в інтернет.
  4. Змініть стандартні облікові дані та використовуйте надійний унікальний пароль адміністратора.
  5. Замініть непідтримуване обладнання. Пристрої, які більше не отримують оновлень безпеки, неможливо виправити, коли з'являються нові вразливості.
  6. Перегляньте журнали та налаштування на предмет незнайомих облікових записів, змінених налаштувань DNS або неочікуваних переспрямувань портів.
  7. Якщо ви запускаєте VMware ESX або подібну інфраструктуру, дотримуйтесь рекомендацій постачальника щодо безпеки та своєчасно застосовуйте патчі.

Зловмисники також дедалі більше використовують автоматизацію для масштабування своєї роботи, як видно з висновків Hunt.io про AI-агентів, що забезпечують атаки по всій Азії, що робить своєчасне патчення ще важливішим, а не менш.

Ключові висновки

Кампанія з zero-day у VMware ESX — це нагадування про те, що скритність і ланцюгування тепер є стандартом для кваліфікованих зловмисників, а граничні пристрої є цінними цілями. Ви не можете контролювати, чи існує zero-day, але ви можете скоротити свою експозицію: підтримуйте прошивку актуальною, увімкніть автоматичні оновлення, обмежте віддалений доступ і виведіть з експлуатації непідтримуване обладнання. Ставтеся до VPN як до одного з кількох рівнів. Почніть сьогодні з перевірки версії прошивки на вашому маршрутизаторі чи фаєрволі.