😈 Ransomware có thể ảnh hưởng đến VMware không? | #TEKPost by TUNGTEK

Published by TUNGTEK Tùng 🌥️, March 26th, 2024

• Phần mềm độc hại được tải xuống trong phishing email hoặc từ một trang web. Nó cũng có thể đến từ một USB bị nhiễm.
• Kẻ tấn công thực hiện một cuộc tấn công Brute force vào một máy chủ truy cập từ xa tiếp xúc với internet. Điều này có vẻ bất thường hơn vì nó liên quan đến nhiều nguồn và kiến thức hơn về mục tiêu. Các cuộc tấn công Brute force cũng thường bị bắt bởi các cơ chế bảo vệ DDoS.

• CVE-2019-5544: Sự cố ghi đè đống trong giao thức OpenSLP trong VMware ESXi.
• CVE-2020-3992: Sự cố sử dụng sau khi miễn phí trong giao thức OpenSLP trong VMware ESXi
• CVE-2021-21985: Mặc dù không có cuộc tấn công nào đề cập đến nó, chúng ta có thể giả định lỗ hổng vCenter Plug-in được phát hiện vào đầu năm 2021 cũng có thể là một vectơ tấn công. Truy cập máy chủ vSphere khá dễ dàng khi vCenter bị xâm phạm.
  Sau đó, hacker có thể kích hoạt SSH để có được quyền truy cập tương tác và đôi khi thậm chí thay đổi mật khẩu gốc hoặc khóa SSH của máy chủ.
  Lưu ý rằng kẻ tấn công thậm chí có thể không cần phải trải qua tất cả những bước đó nếu bằng cách nào đó khôi phục thông tin đăng nhập vCenter hợp lệ của vSphere. Ví dụ, nếu chúng được lưu trữ trong trình duyệt web hoặc lấy từ bộ nhớ của máy trạm bị nhiễm.
  Bây giờ kẻ tấn công đã có quyền truy cập vào máy chủ VMware ESXi, anh ta sẽ thực hiện các bước sau để khóa môi trường của bạn mãi mãi.
• Uninstall Fault Domain Manager or fdm (tác nhân HA) được sử dụng để khởi động lại máy ảo trong trường hợp thất bại.
• Tắt tất cả các máy ảo.
• Mã hóa tất cả các tệp máy ảo bằng tệp thực thi ELF, có nguồn gốc từ tập lệnh mã hóa nhắm mục tiêu vào các máy Linux. Tệp này thường được đặt tên là svc-new và được lưu trữ trong /tmp.
• Ghi tệp tiền chuộc vào kho dữ liệu để quản trị viên tìm.
  Lưu ý rằng có nhiều biến thể của cuộc tấn công ransomware vào VMware ESXi.
• Nếu bạn cần mở truy cập internet trên vCenter của mình, hãy thực thi các quy tắc Firewall mạnh mẽ và quyền truy cập proxy vào các domain cụ thể. Không để lộ vCenter trên internet!!
• Thực thi Hướng dẫn Cấu hình Bảo mật vSphere
• Tránh cài đặt các plugin vCenter của bên thứ ba.
• Kích hoạt Khởi động an toàn và vSphere Trust Authority trên máy chủ vSphere.
• Không join máy chủ vSphere của bạn vào Active Directory.
• Đặt VMware ESXi shell và SSH thành bắt đầu và dừng thủ công.
• Không sử dụng cùng một mật khẩu trên tất cả các máy chủ lưu trữ
• Giáo dục người dùng và quản trị viên của bạn thông qua các chiến dịch giáo dục.
• Đảm bảo các bản vá bảo mật mới nhất được cài đặt càng sớm càng tốt trên tất cả các thành phần cơ sở hạ tầng cũng như các bản sao lưu, máy chủ, máy trạm...
• Tách biệt các mạng con quản lý khỏi các mạng con khác.
• Kết nối với mạng quản lý thông qua máy chủ nhảy. Điều quan trọng là máy chủ nhảy phải:
• Được bảo mật và cập nhật
• Chỉ có thể truy cập thông qua xác thực đa yếu tố (MFA)
• Chỉ được phép cho phép một dải IP cụ thể.
• Chỉ hạn chế quyền truy cập mạng vào các tài nguyên quan trọng đối với các quản trị viên được đào tạo.
• Active Directory:
• Đảm bảo AD được bảo mật và người dùng / quản trị viên được giáo dục về các cuộc tấn công lừa đảo.
• Áp dụng chính sách đặc quyền tối thiểu.
• Sử dụng tài khoản chuyên dụng và có tên.
• Thực thi chính sách mật khẩu mạnh.
• Tách biệt tài khoản Administrator và Domain Administrator trên AD.
• Đăng xuất người dùng khi không hoạt động trên Máy chủ Máy tính Từ xa.
• Không lưu mật khẩu cơ sở hạ tầng của bạn trong trình duyệt.
• Sử dụng Xác thực đa yếu tố (MFA) nếu có thể, ít nhất là trên tài khoản quản trị viên.
• Chuyển tiếp nhật ký cơ sở hạ tầng đến máy chủ Syslog để kiểm tra đường mòn.
• Đảm bảo tất cả các máy trạm và máy chủ đều có phần EDR với các định nghĩa được cập nhật thường xuyên.
• Tránh tích hợp Active Directory hoặc sử dụng xác thực đa yếu tố (MFA).
• Không sử dụng cùng một thông tin đăng nhập để truy cập vào cơ sở hạ tầng VMware và sao lưu.
• Thực hiện theo tiêu chuẩn backup dự phòng 3-2-1 ít nhất.
• Kiểm tra bản sao lưu của bạn thường xuyên.
• Giữ cơ sở hạ tầng sao lưu trên một mạng chuyên dụng.
• Lưu giữ sao lưu đầy đủ để tránh sao lưu dữ liệu bị nhiễm.
• Duy trì bản sao lưu chỉ đọc

Giai đoạn 3: Access management network - Mạng quản lý truy cập

Giai đoạn 4: VMware ESXi vulnerabilities - Lỗ hổng VMware ESXi

Giai đoạn 5: Encrypt datastore và request ransomware - Mã hóa kho dữ liệu và yêu cầu tiền chuộc

Cách bảo vệ bạn khỏi các cuộc tấn công ransomware trên VMware ESXi

Các đề xuất liên quan đến môi trường VMware

Tiêu chuẩn ngành

Các bản sao lưu phù hợp với tất cả những điều này ở đâu?

---