Aktor ransomware yang menargetkan hypervisor logam telanjang esxi memanfaatkan tunneling SSH untuk bertahan pada sistem sambil tetap tidak terdeteksi.
Peralatan ESXI VMware memiliki peran penting dalam lingkungan tervirtualisasi karena mereka dapat berjalan pada satu server fisik beberapa mesin virtual dari suatu organisasi.
Mereka sebagian besar tidak dimonitor dan telah menjadi Target untuk peretas Ingin mengakses jaringan perusahaan di mana mereka dapat mencuri data dan mengenkripsi file, sehingga melumpuhkan seluruh bisnis dengan membuat semua mesin virtual tidak dapat diakses.
Perusahaan cybersecurity Sygnia melaporkan bahwa dalam banyak kasus kompromi dicapai dengan mengeksploitasi kelemahan yang diketahui atau menggunakan kredensial administrator yang dikompromikan.
Sshing ke dalam hypervisor
ESXI memiliki layanan SSH bawaan yang memungkinkan administrator untuk mengelola hypervisor dari jarak jauh melalui shell.
Sygnia mengatakan bahwa aktor ransomware menyalahgunakan fitur ini untuk membangun kegigihan, bergerak secara lateral, dan menggunakan muatan ransomware. Karena banyak organisasi tidak secara aktif memantau aktivitas ESXI SSH, penyerang dapat menggunakannya secara diam -diam.
“Sekali [the hackers are] Pada perangkat, mengatur tunneling adalah tugas sederhana menggunakan fungsionalitas SSH asli atau dengan menggunakan alat umum lainnya dengan kemampuan yang sama, ” menjelaskan Sygnia.
“Misalnya, dengan menggunakan biner SSH, port -forwarding jarak jauh ke server C2 dapat dengan mudah diatur dengan menggunakan perintah berikut: ssh –fn -r 127.0.0.1: @“
“Karena peralatan ESXi tangguh dan jarang ditutup secara tak terduga, terowongan ini berfungsi sebagai pintu belakang semi-persisten di dalam jaringan.”
Sumber: Sygnia
Kesenjangan dalam logging
Sygnia juga menyoroti tantangan dalam memantau log ESXI, yang mengarah pada kesenjangan visibilitas yang signifikan yang diketahui aktor ransomware bagaimana memanfaatkannya.
Tidak seperti kebanyakan sistem di mana log dikonsolidasikan dalam satu file syslog, ESXi mendistribusikan log di beberapa file log khusus, sehingga menemukan bukti memerlukan penyatuan informasi dari berbagai sumber.
Perusahaan keamanan menyarankan agar admin sistem melihat keempat file log ini untuk mendeteksi aktivitas tunneling dan ransomware SSH:
- /var/log/shell.log → melacak eksekusi perintah di shell esxi
- /var/log/hostd.log → Log Kegiatan Administratif dan Otentikasi Pengguna
- /var/log/auth.log → menangkap upaya login dan acara otentikasi
- /var/log/vobd.log → Log Sistem dan Acara Keamanan Menyimpan
Hostd.log dan vodb.log cenderung juga berisi jejak modifikasi aturan firewall, yang sangat penting untuk memungkinkan akses SSH yang persisten.
Perlu dicatat bahwa aktor ransomware sering menghapus log untuk menghapus bukti akses SSH, memodifikasi cap waktu, atau memotong log untuk membingungkan para penyelidik, sehingga menemukan bukti tidak selalu mudah.
Pada akhirnya, disarankan agar organisasi memusatkan log ESXI melalui penerusan syslog dan mengintegrasikan log ke dalam sistem informasi keamanan & manajemen acara (SIEM) untuk mendeteksi anomali.
