Ransomware no ESXi: A mecanização de ataques virtualizados

ZNX Postagens

Em 2024, os ataques de ransomware direcionados aos servidores VMware ESXi atingiram níveis alarmantes, com a demanda média de resgate disparando para $5 milhões. Com aproximadamente 8.000 hosts ESXi expostos diretamente à internet (de acordo com Shodan), o impacto operacional e comercial desses ataques é profundo.

A maioria das cadeias de Ransomware que estão atacando os servidores ESXi hoje em dia, são variantes do infame Babuk ransomware, adaptado para evitar a detecção de ferramentas de segurança. Além disso, a acessibilidade está se tornando mais difundida, à medida que os invasores monetizam seus pontos de entrada vendendo Acesso Inicial a outros agentes de ameaças, incluindo grupos de ransomware. À medida que as organizações estão lidando com ameaças compostas em uma frente cada vez maior: novas vulnerabilidades, novos pontos de entrada, redes de cibercrime monetizadas e muito mais, há uma urgência cada vez maior de melhorias medidas de segurança e vigilância.

A arquitetura do ESXi#

Entender como um invasor pode obter controle do host ESXi começa com a compreensão da arquitetura de ambientes virtualizados e seus componentes. Isso ajudará a identificar possíveis vulnerabilidades e pontos de entrada.

Com base nisso, os invasores que visam servidores ESXi podem procurar o nó central que gerencia vários hosts ESXi. Isso permitirá que eles maximizem seu impacto.

Isso nos leva ao vCenter, que é a administração central da infraestrutura VMware e foi projetado para gerenciar vários hosts ESXi. O servidor vCenter orquestra o gerenciamento do host ESXi com a conta padrão “vpxuser”. Mantendo permissões de root, a conta “vpxuser” é responsável por ações administrativas nas máquinas virtuais que residem nos hosts ESXi. Por exemplo, transferir VMs entre hosts e modificar configurações de VMs ativas.

Senhas criptografadas para cada host ESXi conectado são armazenadas em uma tabela dentro do servidor vCenter. Uma chave secreta armazenada no servidor vCenter facilita a descriptografia de senha e, consequentemente, o controle total sobre cada um dos hosts ESXi. Uma vez descriptografada, a conta “vpxuser” pode ser usada para operações de permissões de root, incluindo alteração de configurações, alteração de senhas de outras contas, login SSH e execução de ransomware.

Criptografia no ESXi

As campanhas de ransomware destinam-se a tornar a recuperação extremamente difícil, coagindo a organização a pagar o resgate. Com os ataques ESXi, isso é conseguido visando quatro tipos de arquivos essenciais para a continuidade operacional:

  1. Arquivos VMDK: Um arquivo de disco virtual que armazena o conteúdo do disco rígido de uma máquina virtual. Criptografar esses arquivos torna a máquina virtual completamente inoperante.
  2. Arquivos VMEM: O arquivo de paginação de cada máquina virtual. Criptografar ou excluir arquivos VMEM pode resultar em perda de dados significativa e complicações ao tentar retomar VMs suspensas.
  3. Arquivos VSWP: Troque arquivos, que armazenam parte da memória da VM além do que a memória física do host pode fornecer. Criptografar esses arquivos de swap pode causar falhas nas VMs.
  4. Arquivos VMSN: Instantâneos para fazer backup de VMs. A segmentação desses arquivos complica os processos de recuperação de desastres.

Como os arquivos envolvidos em ataques de ransomware em servidores ESXi são grandes, os invasores normalmente empregam uma abordagem de criptografia híbrida. Eles combinam a rapidez da criptografia simétrica com a segurança da criptografia assimétrica.

  • Criptografia simétrica – Esses métodos, como o AES ou o Chacha20, permitem velocidade e eficiência na criptografia de grandes volumes de dados. Os invasores podem criptografar arquivos rapidamente, reduzindo a janela de oportunidade para detecção e mitigação por sistemas de segurança.
  • Criptografia assimétrica Métodos assimétricos, como RSA, são mais lentos, pois envolvem uma chave pública e uma chave privada e exigem operações matemáticas complexas.

Portanto, no ransomware, a criptografia assimétrica é usada principalmente para proteger as chaves usadas na criptografia simétrica, em vez dos próprios dados. Isso garante que as chaves simétricas criptografadas só possam ser descriptografadas por alguém que possua a chave privada correspondente, ou seja, o invasor. Isso impede a descriptografia fácil, adicionando uma camada extra de segurança para o invasor.

4 Estratégias-chave para Mitigação de Riscos

Uma vez que tenhamos reconhecido que a segurança do vCenter está em risco, o próximo passo é fortalecer as defesas, colocando obstáculos no caminho de possíveis invasores. Aqui estão algumas estratégias:

  1. Atualizações Regulares VCSA: Sempre use a versão mais recente do VMware vCenter Server Appliance (VCSA) e mantenha-a atualizada. A transição de um vCenter baseado no Windows para o VCSA pode melhorar a segurança, pois foi projetada especificamente para gerenciar o vSphere.
  2. Implementar MFA e Remover Usuários Padrão: Não altere apenas as senhas padrão—confira a Autenticação Multifator (MFA) forte para contas confidenciais para adicionar uma camada extra de proteção.
  3. Implantar Ferramentas de Detecção Eficazes: Use ferramentas de detecção e prevenção diretamente no seu vCenter. Soluções como EDRs, XDRs ou ferramentas de terceiros podem ajudar no monitoramento e alertas, dificultando o sucesso dos invasores. Por exemplo, configurar políticas de monitoramento que rastreiam especificamente tentativas de acesso incomuns à conta do vpxuser ou alertas para atividades de arquivos criptografados no ambiente do vCenter.
  4. Segmentação de Rede: Segmente sua rede para controlar o fluxo de tráfego e reduzir o risco de movimento lateral por invasores. Manter a rede de gerenciamento do vCenter separada de outros segmentos ajuda a conter possíveis violações.

Teste Contínuo: Fortalecendo Sua Segurança ESXi

Proteger seu vCenter contra ataques de ransomware ESXi é vital. Os riscos associados a um vCenter comprometido podem afetar toda a sua organização, impactando todos que dependem de dados críticos.

Testes e avaliações regulares podem ajudar a identificar e resolver lacunas de segurança antes que elas se tornem problemas sérios. Trabalhe com especialistas em segurança que podem ajudá-lo a implementar um Gerenciamento Contínuo de Exposição a Ameaças (CTEM) estratégia adaptada à sua organização.

Fonte: https://thehackernews.com/