На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

Кастомный Python-скрипт, внедренный на сервер с гипервизором ESXi, зашифровал содержимое всех виртуальных дисков, уничтожил оригиналы и стер следы своего пребывания в системе. Исследователи из Sophos также отметили, что это была одна из самых быстрых атак на их памяти: на освоение сети и развертывание шифровальщика злоумышленники потратили немногим более трех часов.

Создатели вымогательских программ редко используют Python, но в данном случае выбор показался экспертам логичным. Linux-серверы, на которых работает VMware ESXi, по умолчанию укомплектованы Python.

Разбор атаки показал, что хакеры проникли в сеть, взломав аккаунт TeamViewer на машине администратора домена; приложение при этом работало в фоновом режиме. Затем в систему был загружен Advanced IP Scanner для поиска других подходящих мишеней.

Доступ к серверу ESXi злоумышленники получили с помощью SSH-клиента Bitvis, воспользовавшись тем, что айтишники оставили включенной службу ESXi Shell (по умолчанию деактивирована). В итоге на сервере был запущен крохотный Python-скрипт (весом 6 Кбайт), который начал шифровать виртуальные диски и файлы с настройками VM-машин, а потом сам себя удалил.

Перед шифрованием диска вредонос составляет списки директорий и имен VM, создавая под них текстовые файлы (потом стираются), а затем отключает установленные на сервере виртуальные машины. Шифрование осуществляется средствами OpenSSL; содержимое оригинала перезаписывается, чтобы исключить возможность восстановления, после этого файл удаляется.

Аналитики также выяснили, что операторы Python-зловреда могут по желанию быстро менять контактные email-адреса и расширение, добавляемое к зашифрованным файлам. Более того, в коде шифровальщика помимо жестко прописанных ключей был обнаружен генератор таких секретов, которые тоже могут сменяться на лету.

Тестирование показало, что при каждом прогоне шифровальщика (для каждого целевого хранилища ESXi) создается новая пара уникальных ключей. Вредонос никуда их не передает, а копирует в файловую систему, шифруя вшитым в код публичным ключом. Примечательно, что для каждого обрабатываемого файла зловредный скрипт генерирует соль — 32-байтовый код, именуемый aeskey.

К сожалению, атаки на серверы ESXi с использованием вымогательских программ стали множиться. В этом году такие возможности продемонстрировали, к примеру, RansomExx, REvil и Babuk Locker.

Серверы с гипервизором — привлекательная мишень для злоумышленников: в виртуальных машинах могут быть запущены критичные для бизнес-процессов механизмы и службы, а защита таких компьютеров оставляет желать лучшего. Во избежание неприятностей эксперты рекомендуют следовать лучшим практикам обеспечения безопасности:

  • избегать повтора паролей;
  • использовать длинные и трудно угадываемые пароли;
  • использовать многофакторную аутентификацию (MFA), в том числе для аккаунтов с высокими привилегиями.

В случае использования технологий VMware этот перечень можно дополнить еще одним советом: не забывайте отключать SSH-доступ и ESXi Shell по окончании технических работ на сервере.

Минюст предложил криминализировать нелегальный майнинг

Минюст разместил на портале проектов нормативных актов законопроект, предусматривающий введение уголовной ответственности за нелегальный майнинг криптовалюты, а также за незаконную деятельность операторов майнинговой инфраструктуры.

Документ опубликован для общественного обсуждения и содержит поправки в Уголовный и Уголовно-процессуальный кодексы РФ.

Согласно проекту, в Уголовный кодекс предлагается добавить часть 6 в статью 171. В ней преступлением признаётся «осуществление майнинга цифровой валюты лицом, не включённым в реестр лиц, осуществляющих майнинг цифровой валюты, если такое включение является обязательным, либо оказание услуг оператора майнинговой инфраструктуры без включения в реестр операторов майнинговой инфраструктуры — при условии, что эти деяния причинили крупный ущерб гражданам, организациям или государству либо были сопряжены с извлечением дохода в крупном размере».

За такие действия предлагается наказывать штрафом до 1,5 млн рублей либо исправительными работами сроком до двух лет. При наличии отягчающих обстоятельств — крупного ущерба, значительного незаконного дохода или совершения преступления в составе организованной группы — штраф может увеличиться до 2,5 млн рублей. Также предусмотрены принудительные работы на срок до пяти лет или лишение свободы на тот же срок.

Отдельно отмечается проблема нелегального майнинга с использованием чужих устройств, когда добыча криптовалюты ведётся с помощью внедрённых на компьютеры пользователей вредоносных программ. В последние годы, как отмечают специалисты, майнинговые ботнеты начали создавать и на базе устройств «умного дома», объединяя их в распределённые сети.

RSS: Новости на портале Anti-Malware.ru