На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

Кастомный Python-скрипт, внедренный на сервер с гипервизором ESXi, зашифровал содержимое всех виртуальных дисков, уничтожил оригиналы и стер следы своего пребывания в системе. Исследователи из Sophos также отметили, что это была одна из самых быстрых атак на их памяти: на освоение сети и развертывание шифровальщика злоумышленники потратили немногим более трех часов.

Создатели вымогательских программ редко используют Python, но в данном случае выбор показался экспертам логичным. Linux-серверы, на которых работает VMware ESXi, по умолчанию укомплектованы Python.

Разбор атаки показал, что хакеры проникли в сеть, взломав аккаунт TeamViewer на машине администратора домена; приложение при этом работало в фоновом режиме. Затем в систему был загружен Advanced IP Scanner для поиска других подходящих мишеней.

Доступ к серверу ESXi злоумышленники получили с помощью SSH-клиента Bitvis, воспользовавшись тем, что айтишники оставили включенной службу ESXi Shell (по умолчанию деактивирована). В итоге на сервере был запущен крохотный Python-скрипт (весом 6 Кбайт), который начал шифровать виртуальные диски и файлы с настройками VM-машин, а потом сам себя удалил.

Перед шифрованием диска вредонос составляет списки директорий и имен VM, создавая под них текстовые файлы (потом стираются), а затем отключает установленные на сервере виртуальные машины. Шифрование осуществляется средствами OpenSSL; содержимое оригинала перезаписывается, чтобы исключить возможность восстановления, после этого файл удаляется.

Аналитики также выяснили, что операторы Python-зловреда могут по желанию быстро менять контактные email-адреса и расширение, добавляемое к зашифрованным файлам. Более того, в коде шифровальщика помимо жестко прописанных ключей был обнаружен генератор таких секретов, которые тоже могут сменяться на лету.

Тестирование показало, что при каждом прогоне шифровальщика (для каждого целевого хранилища ESXi) создается новая пара уникальных ключей. Вредонос никуда их не передает, а копирует в файловую систему, шифруя вшитым в код публичным ключом. Примечательно, что для каждого обрабатываемого файла зловредный скрипт генерирует соль — 32-байтовый код, именуемый aeskey.

К сожалению, атаки на серверы ESXi с использованием вымогательских программ стали множиться. В этом году такие возможности продемонстрировали, к примеру, RansomExx, REvil и Babuk Locker.

Серверы с гипервизором — привлекательная мишень для злоумышленников: в виртуальных машинах могут быть запущены критичные для бизнес-процессов механизмы и службы, а защита таких компьютеров оставляет желать лучшего. Во избежание неприятностей эксперты рекомендуют следовать лучшим практикам обеспечения безопасности:

  • избегать повтора паролей;
  • использовать длинные и трудно угадываемые пароли;
  • использовать многофакторную аутентификацию (MFA), в том числе для аккаунтов с высокими привилегиями.

В случае использования технологий VMware этот перечень можно дополнить еще одним советом: не забывайте отключать SSH-доступ и ESXi Shell по окончании технических работ на сервере.

Глава Ростелекома: Telegram умирает, а стационарный телефон нужен каждому

Президент «Ростелекома» Михаил Осеевский выступил с довольно жёсткими заявлениями о ситуации на рынке связи. По его словам, в России резко вырос интерес к установке стационарных телефонов, а трафик зарубежных мессенджеров заметно просел: WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России), как он выразился, «умер», а Telegram — «умирает прямо сейчас».

На этом фоне, по словам Осеевского, мессенджер MAX, наоборот, показывает быстрый рост. Об этих его оценках сообщали СМИ в контексте продолжающихся ограничений и проблем со связью в России.

Отдельно Осеевский сделал показательный вывод: стационарный телефон, по его мнению, должен быть в каждом доме. Он назвал его «гарантированным способом связи» и даже сравнил с огнетушителем — вещью, которая может долго не понадобиться, но в нужный момент оказывается очень кстати.

На фоне регулярных проблем с мобильным интернетом и перебоев в работе цифровых сервисов такая риторика выглядит уже не как ностальгия, а как вполне практический совет.

Контекст у этих слов вполне понятный. В последние месяцы в России усилились ограничения и сбои, затрагивающие привычные каналы связи. На этом фоне власти и крупные игроки всё чаще говорят о переходе пользователей на альтернативные решения, включая MAX.

Одновременно в публичной повестке всё заметнее звучит мысль о том, что старая проводная связь внезапно снова становится актуальной — просто потому, что она менее зависима от перегруженных или ограничиваемых мобильных сетей.

При этом важно понимать: слова Осеевского — это именно оценка текущей динамики, а не официальный отчёт с раскрытыми цифрами. Сам он, судя по пересказам, говорил о росте запросов на установку домашнего телефона, но конкретные показатели не приводил.

RSS: Новости на портале Anti-Malware.ru