Cine credea că ransomware-ul pierde teren s-a înșelat: bătălia s-a mutat la nivelul următor

În februarie 2021, CrowdStrike a semnalat că grupurile de atacatori CARBON SPIDER și SPRITE SPIDER au început să atace și sistemele Linux, inclusiv serverele cu hipervizorul VMware ESXi, cea mai răspândită platformă de virtualizare din firme. Pentru atacatori, metoda e mult mai eficientă: o singură gazdă compromisă înseamnă toate mașinile virtuale criptate deodată. De atunci, această tactică a devenit obișnuită.

Cum atacă ransomware-ul serverele ESXi?

După cum probabil știți, virușii de tip ransomware atacă infrastructurile companiilor și criptează datele de pe calculatoarele și serverele infectate. Pentru recuperarea lor, atacatorii cer o răscumpărare, de obicei destul de mare.

Mult timp, ținta acestor grupuri au fost calculatoarele și serverele cu Windows, mai ușor de compromis. Însă, începând din a doua jumătate a anului 2020, grupurile SPRITE SPIDER și CARBON SPIDER au început să atace și sistemele Linux, inclusiv serverele ESXi. Atacatorii și-au adaptat ransomware-ul, Defray777 și DarkSide, ca să funcționeze pe ESXi. DarkSide a devenit cunoscut în toată lumea în mai 2021, după atacul asupra Colonial Pipeline, din SUA.

Problema reală este că acești viruși atacă mediile de virtualizare și compromit practic toate mașinile virtuale care rulează pe ele, ca paguba firmei să fie cât mai mare.

Ei folosesc datele de autentificare pentru vCenter (vSphere) salvate în browsere sau le fură, prin diverse metode, pe cele păstrate în memorie. Dacă reușesc, resetează parola de root și activează serviciul SSH, ca să se poată conecta de la distanță la consola de administrare a mașinilor virtuale.

A compromite gazda pe care rulează toate mașinile virtuale echivalează cu a le compromite pe toate, doar că mai rapid și mai eficient. Pentru detalii tehnice, citiți analiza de pe blogul CrowdStrike.

Când vorbim de securitate, trebuie să stabilim ceva de la bun început: nivelul de securitate al unei infrastructuri este dat de cea mai nesigură stație de lucru din rețea.

Ce s-a întâmplat de atunci?

Atacurile asupra serverelor ESXi au devenit o practică obișnuită pentru grupurile de ransomware:

• În februarie 2023, campania ESXiArgs a criptat mii de servere ESXi expuse în internet, printr-o vulnerabilitate veche (CVE-2021-21974), corectată de VMware încă din 2021. Au căzut serverele neactualizate.
• În iulie 2024, Microsoft a anunțat că mai multe grupuri de ransomware exploatau o vulnerabilitate din ESXi (CVE-2024-37085), prin care un atacator cu drepturi în Active Directory putea obține control complet asupra serverelor ESXi conectate la domeniu.
• Multe familii de ransomware cunoscute au acum și variante pentru Linux și ESXi.

Cum securizăm infrastructura împotriva ransomware?

Adoptarea unor măsuri de securitate solide reduce riscul ca infrastructura să fie compromisă de un virus de tip ransomware. Mai jos, câteva recomandări:

• actualizarea sistemelor pe toate calculatoarele și serverele firmei, inclusiv a hipervizoarelor (ESXi, Hyper-V) și a echipamentelor de rețea;
• soluții antivirus și antimalware pe toate calculatoarele și serverele, de preferat de tip EDR, care recunosc comportamentul suspect;
• un firewall hardware care filtrează traficul și securizează rețeaua;
• parole lungi și unice, plus autentificare în doi pași (MFA), mai ales pentru conturile de administrator; o parolă se schimbă imediat ce există semne că a fost compromisă;
• politici de backup eficiente, cu o copie offline sau imuabilă, pe care atacatorii nu o pot cripta, și cu restaurări testate;
• conexiuni VPN cu criptare și autentificare în doi pași pentru accesul de la distanță la resursele companiei.

Pentru mediile virtualizate, în plus:

• interfețele de administrare (vCenter, ESXi) nu se expun în internet și sunt accesibile doar dintr-o rețea separată de administrare;
• serviciul SSH de pe ESXi rămâne oprit și se pornește doar la nevoie;
• parolele de administrare nu se salvează în browser;
• conturile de administrare a virtualizării sunt separate de conturile obișnuite din domeniu.

Vedeți și 5 motive pentru care ransomware-ul nu poate fi oprit ușor și planul de răspuns la un atac cibernetic.

RezolvIT este o companie de Externalizare IT care susține firmele cu care lucrează, fie că ne referim la Securitate IT și Infrastructură IT, fie la lucrul angajaților de acasă.