На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

Кастомный Python-скрипт, внедренный на сервер с гипервизором ESXi, зашифровал содержимое всех виртуальных дисков, уничтожил оригиналы и стер следы своего пребывания в системе. Исследователи из Sophos также отметили, что это была одна из самых быстрых атак на их памяти: на освоение сети и развертывание шифровальщика злоумышленники потратили немногим более трех часов.

Создатели вымогательских программ редко используют Python, но в данном случае выбор показался экспертам логичным. Linux-серверы, на которых работает VMware ESXi, по умолчанию укомплектованы Python.

Разбор атаки показал, что хакеры проникли в сеть, взломав аккаунт TeamViewer на машине администратора домена; приложение при этом работало в фоновом режиме. Затем в систему был загружен Advanced IP Scanner для поиска других подходящих мишеней.

Доступ к серверу ESXi злоумышленники получили с помощью SSH-клиента Bitvis, воспользовавшись тем, что айтишники оставили включенной службу ESXi Shell (по умолчанию деактивирована). В итоге на сервере был запущен крохотный Python-скрипт (весом 6 Кбайт), который начал шифровать виртуальные диски и файлы с настройками VM-машин, а потом сам себя удалил.

Перед шифрованием диска вредонос составляет списки директорий и имен VM, создавая под них текстовые файлы (потом стираются), а затем отключает установленные на сервере виртуальные машины. Шифрование осуществляется средствами OpenSSL; содержимое оригинала перезаписывается, чтобы исключить возможность восстановления, после этого файл удаляется.

Аналитики также выяснили, что операторы Python-зловреда могут по желанию быстро менять контактные email-адреса и расширение, добавляемое к зашифрованным файлам. Более того, в коде шифровальщика помимо жестко прописанных ключей был обнаружен генератор таких секретов, которые тоже могут сменяться на лету.

Тестирование показало, что при каждом прогоне шифровальщика (для каждого целевого хранилища ESXi) создается новая пара уникальных ключей. Вредонос никуда их не передает, а копирует в файловую систему, шифруя вшитым в код публичным ключом. Примечательно, что для каждого обрабатываемого файла зловредный скрипт генерирует соль — 32-байтовый код, именуемый aeskey.

К сожалению, атаки на серверы ESXi с использованием вымогательских программ стали множиться. В этом году такие возможности продемонстрировали, к примеру, RansomExx, REvil и Babuk Locker.

Серверы с гипервизором — привлекательная мишень для злоумышленников: в виртуальных машинах могут быть запущены критичные для бизнес-процессов механизмы и службы, а защита таких компьютеров оставляет желать лучшего. Во избежание неприятностей эксперты рекомендуют следовать лучшим практикам обеспечения безопасности:

  • избегать повтора паролей;
  • использовать длинные и трудно угадываемые пароли;
  • использовать многофакторную аутентификацию (MFA), в том числе для аккаунтов с высокими привилегиями.

В случае использования технологий VMware этот перечень можно дополнить еще одним советом: не забывайте отключать SSH-доступ и ESXi Shell по окончании технических работ на сервере.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Критическая уязвимость в sudo позволяет запустить любую команду как root

Опубликован PoC-код для уязвимости в sudo, позволяющей с помощью опции -R (--chroot) обойти системные ограничения и выполнить вредоносный код с правами суперпользователя. Патч включен в состав обновления 1.9.17p1.

Появившаяся с выходом сборки sudo 1.9.14 функция chroot() создает изолированную среду, в которой текущий и дочерние процессы могут работать, не имея доступа к объектам и ресурсам за пределами указанного корневого каталога.

Соответствующая команда выполняется на уровне root. Ее использование определяется правилами, прописанными в файле /etc/sudoers.

Уязвимость повышения привилегий CVE-2025-32463 (9,3 балла по CVSS) возникла из-за того, что при изменении корневого каталога sudo начинает резолвить пути к файлам, не завершив проверку параметров настройки в sudoers.

В результате у злоумышленников появилась возможность с помощью этой утилиты протащить в систему стороннюю библиотеку общего пользования, создав фейковый /etc/nsswitch.conf.

Уязвимости подвержены sudo версий с 1.9.14 по 1.9.17 включительно. Патч вышел в прошлом месяце в составе сборки 1.9.17p1; он откатывает изменения, привнесенные в 1.9.14, с пометкой, что использовать chroot не рекомендуется.

По словам разработчиков, со следующим выпуском sudo от неудачно реализованной и редко используемой опции не останется и следа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru