Massutnyttjande av ESXi-hosts

Orange Cyberdefense Vulnerability Operations Center upptäckte 42 ESXi-värdar som var sårbara för CVE-2021-21974. Dessa värddatorer upptäcktes mellan februari 2021 och oktober 2022. De första sex sårbara värddatorerna upptäcktes den 28 februari 2021, vilket är fyra dagar efter NVD:s publiceringsdatum den 24 februari 2021. De återstående 36 sårbara värdarna upptäcktes mellan november 2021 och oktober 2022. Detta innebär att vissa värddatorer inte hade någon uppdatering i mellan 270 och 590 dagar. Detta förutsätter att värddatorerna har patcherats omedelbart efter upptäckten. Den här specifika sårbarheten påverkade 7% av vår VOC-kundbas. Orange Cyberdefense Ethical Hacking Team utförde 122 bedömningar som klassificerades som antingen interna, externa eller Red Team från den 24 februari 2021 till och med september 2022. Detta är den period då sårbarheten CVE-2021-21974 var allmänt känd och kunde ha upptäckts. Ett detaljerat blogginlägg om sårbarheten publicerades den 25 maj 2021, vilket innebär att om en sårbar ESXi-värd påträffades och fanns inom räckvidden fanns det en möjlighet att den kunde ha utnyttjats med hjälp av den exploateringskod som publicerades på GitHub^{17 18}. Vid denna tidpunkt, med en fullständig förklaring och en exploateringskod, hade 105 bedömningar eventuellt kunnat ge ett potentiellt resultat. Lyckligtvis hade ingen av de kunder som vi bedömde resultat med hänvisning till denna sårbarhet.

Som tidigare nämnts har de rapporterade angreppen en märkbar inverkan på målsystemet. Attackerna resulterade i att filer på ESXi-hypervisorn krypterades efter att angriparen stoppat alla virtuella värdar som kördes. Under den första vågen av attacker hittades också instruktioner om att betala 2 bitcoins till den utsedda plånboken för att få dekrypteringsnycklarna i filer på flera exploaterade ESXi-värdar. Det märkliga var att ingen utpressningsgrupp namngavs i instruktionsfilen.

Ett offer delade med sig av en sådan lösensedel¹⁹ på Bleeping Computers forum. Det märkliga är att meddelandet avslutas med vad som ser ut som en möjlig ledtråd: "SSH är påslaget" och "Firewall är inaktiverad". VMware ESXi har en SSH-tjänst som kan aktiveras. Kanske har angriparen tvingat dessa värddatorer med kända eller svaga autentiseringsuppgifter eller utnyttjat en svaghet i OpenSSH? Hänvisningen till den inaktiverade brandväggen kan tyda på att angriparen ansåg att om en brandvägg hade funnits på plats med lämplig konfiguration hade angreppet kunnat förhindras. Det är viktigt att inaktivera eller begränsa fjärråtkomst till alla värdar som är exponerade för Internet, eftersom detta kraftigt begränsar vad angriparna kan göra.

En annan användare av Bleeping Computer-forumet skrev i samma tråd den 8 februari 2023 att en ESXi-värd hade äventyrats trots att "SLP-tjänsten var avstängd "²⁰ . Om detta är fallet är det osannolikt att teorin om OpenSLP-sårbarheten är den enda angreppsvektorn.

Det finns antydningar om ytterligare utpressning i meddelandet om ransomware som delas på Bleeping Computers foruminlägg. Dagarna efter den första vågen av attacker ändrades angriparnas tillvägagångssätt. De uppdaterade sitt meddelande om lösensumma genom att ta bort adressen till deras Bitcoin-plånbok och i stället ange en TOR Onion Site (darkweb). Båda versionerna av ransomware hotar med att dela med sig av de stulna uppgifterna om ingen lösensumma betalas. Den första versionen saknade en typisk negationssajt. Den nyare versionen av ransomware med TOR-webbadressen kan tyda på att angriparna fortfarande håller på att utveckla sin infrastruktur för att anpassa den till vad som har blivit normen vid typiska förhandlingar om cyberutpressning.

I vissa rapporter nämns en ny grupp av ransomware som kallas "Nevada", men inga konkreta bevis som kopplar samman massutnyttjandet av ESXi och gruppen har ännu presenterats. Vi vet dock att cyberutpressningsgrupper utvecklas med tiden. Vissa försvinner medan andra förvandlas till nya grupper.

Under fjärde kvartalet 2022 såg vi faktiskt ett relativt lågt antal hotbildsgrupper som utpressade offerorganisationer runt om i världen - totalt 19 hotbildsgrupper som utpressade 494 organisationer. Senast vi räknade till under 20 aktiva unika hotaktörsgrupper var i början av 2021 - för nästan två år sedan. Trots detta ökade antalet offer under fjärde kvartalet, särskilt under december 2022. Under december lades två nya hotaktörsgrupper "Play" och "Royal" till i vår övervakningsprocess, vilket bidrog till den plötsliga ökningen.

Gruppen ViceSociety ändrade också sin TOR onion address under denna period, vilket ledde till att 19 offer noterades samma dag, så uppgifterna kanske inte representerar det faktiska datumet och klockslaget för dessa offers inlägg.

I mitten av december rapporterade flera källor om en annan ny variant av ransomware kallad "Royal", som dök upp i november i vårt dataset men som sägs ha varit aktiv redan i början av 2022. Man tror att några av de före detta Conti-medlemmarna driver denna Cy-X-verksamhet. I november och december registrerade vi 51 företag som fallit offer för den här gruppen. Offren kom från länder som USA (59%), Kanada (8%), Brasilien (6%), Tyskland (6%) och Österrike (4%), vilket visar den "vanliga" blandningen av utsatta länder.

Även om det totala antalet offer återigen ökade något under fjärde kvartalet, kan vi konstatera en förändring av de aktörer som bidrar till detta hot. Detta är inte ovanligt med tanke på ekosystemets opportunistiska karaktär. Medan vissa grupper av hotaktörer kanske upphör med sin verksamhet, är andra redo att "ta sin del" av offren.

Om vi tittar på de 20 länder som påverkades av detta hot under fjärde kvartalet, är mer än hälften av alla offer baserade i USA. Under fjärde kvartalet såg vi att USA-baserade offer ökade till 51% av det totala antalet offer jämfört med 40% under tredje kvartalet 2022. Det näst mest drabbade landet under Q4 var Kanada med offer från vertikaler som tillverkning (n=7), information (n=4) och grossisthandel (n=3).

Som det framgår av diagrammet ovan var engelsktalande länder de mest drabbade länderna under fjärde kvartalet, tätt följt av offer från Tyskland (n=21), Brasilien (n=17) och Frankrike (n=17). Franska offer har minskat med nästan hälften från Q3 till Q4. En orsak kan vara att LockBit, som orsakade över 80% av de franska offren under Q3, har haft mindre aktivitet under Q4. Medan Brasilien proportionellt sett ligger på femte plats. Under Q4, och särskilt under december 2022, registrerade vi det högsta antalet organisationer från Brasilien som föll offer för cyberutpressning.

För att återgå till ESXiArgs malware. På en teknisk nivå verkade det till en början som om den krypteringsteknik som angriparna använde sig av var kryptografiskt sund, men omfattningen av angriparnas kryptering av filerna kunde potentiellt leda till att data kunde återvinnas. En guide²² publicerades av turkiska forskare för att hjälpa till med eventuell återställning av virtuella värdar. Guiden förutsätter dock en hög nivå av färdigheter och erfarenhet av VMware och är inte något som en nybörjare skulle kunna lyckas med. CISA har publicerat resurser för att hjälpa till med återställning av data och bör vara lättare att genomföra än guiden^{23 24}

Det verkar dock som om angriparna insåg att offren kunde återfå sina data och släppte en ny version av ransomware som krypterar upp till 50% av data om VMware-datafilen är större än 128 MB²⁵ . Anledningen till krypteringen på 50% är att datafiler som representerar den virtuella disken för virtuella datorer kan vara gigabyte om inte terabyte stora. Att kryptera detta kan ta mycket lång tid. Så genom att kryptera diskarna selektivt blir de virtuella diskarna fortfarande obrukbara, men en del av uppgifterna lämnas också intakta. Det är en fråga om tur om de okrypterade uppgifterna är användbara.

Den uppdaterade versionen kan göra det mindre sannolikt att återställning enligt guiden och CISA-verktyget lyckas.