На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

На серверы VMware ESXi напал новый Python-шифровальщик

Кастомный Python-скрипт, внедренный на сервер с гипервизором ESXi, зашифровал содержимое всех виртуальных дисков, уничтожил оригиналы и стер следы своего пребывания в системе. Исследователи из Sophos также отметили, что это была одна из самых быстрых атак на их памяти: на освоение сети и развертывание шифровальщика злоумышленники потратили немногим более трех часов.

Создатели вымогательских программ редко используют Python, но в данном случае выбор показался экспертам логичным. Linux-серверы, на которых работает VMware ESXi, по умолчанию укомплектованы Python.

Разбор атаки показал, что хакеры проникли в сеть, взломав аккаунт TeamViewer на машине администратора домена; приложение при этом работало в фоновом режиме. Затем в систему был загружен Advanced IP Scanner для поиска других подходящих мишеней.

Доступ к серверу ESXi злоумышленники получили с помощью SSH-клиента Bitvis, воспользовавшись тем, что айтишники оставили включенной службу ESXi Shell (по умолчанию деактивирована). В итоге на сервере был запущен крохотный Python-скрипт (весом 6 Кбайт), который начал шифровать виртуальные диски и файлы с настройками VM-машин, а потом сам себя удалил.

Перед шифрованием диска вредонос составляет списки директорий и имен VM, создавая под них текстовые файлы (потом стираются), а затем отключает установленные на сервере виртуальные машины. Шифрование осуществляется средствами OpenSSL; содержимое оригинала перезаписывается, чтобы исключить возможность восстановления, после этого файл удаляется.

Аналитики также выяснили, что операторы Python-зловреда могут по желанию быстро менять контактные email-адреса и расширение, добавляемое к зашифрованным файлам. Более того, в коде шифровальщика помимо жестко прописанных ключей был обнаружен генератор таких секретов, которые тоже могут сменяться на лету.

Тестирование показало, что при каждом прогоне шифровальщика (для каждого целевого хранилища ESXi) создается новая пара уникальных ключей. Вредонос никуда их не передает, а копирует в файловую систему, шифруя вшитым в код публичным ключом. Примечательно, что для каждого обрабатываемого файла зловредный скрипт генерирует соль — 32-байтовый код, именуемый aeskey.

К сожалению, атаки на серверы ESXi с использованием вымогательских программ стали множиться. В этом году такие возможности продемонстрировали, к примеру, RansomExx, REvil и Babuk Locker.

Серверы с гипервизором — привлекательная мишень для злоумышленников: в виртуальных машинах могут быть запущены критичные для бизнес-процессов механизмы и службы, а защита таких компьютеров оставляет желать лучшего. Во избежание неприятностей эксперты рекомендуют следовать лучшим практикам обеспечения безопасности:

  • избегать повтора паролей;
  • использовать длинные и трудно угадываемые пароли;
  • использовать многофакторную аутентификацию (MFA), в том числе для аккаунтов с высокими привилегиями.

В случае использования технологий VMware этот перечень можно дополнить еще одним советом: не забывайте отключать SSH-доступ и ESXi Shell по окончании технических работ на сервере.

К 2031 году российский ИБ-рынок превысит 1 трлн рублей

По прогнозу Центра стратегических разработок (ЦСР), к 2031 году объём российского рынка кибербезопасности может превысить 1 трлн рублей при сохранении текущих тенденций. В 2025 году рынок ИБ достиг 364,4 млрд рублей, что на 16% выше уровня 2024 года.

По оценке аналитиков ЦСР, отрасль постепенно переходит от экстренного импортозамещения к более взвешенному выбору решений, архитектур и сервисных моделей.

Как отметили опрошенные «Коммерсантом» эксперты, со стороны заказчиков усилился запрос на эффективность и окупаемость затрат на ИБ.

По оценкам ЦСР, до 2031 года среднегодовые темпы роста рынка составят 19,4%. В результате к этому сроку он почти утроится и достигнет 1,15 трлн рублей.

Как и прежде, основной объём ИБ-рынка формируют средства сетевой безопасности. При этом сегменты инфраструктурной и прикладной безопасности, защиты данных, а также управления доступом растут быстрее. Кроме того, спрос всё заметнее смещается в сторону сервисов ИБ по моделям MSSP, MDR и SOC-as-a-Service.

Как прокомментировал заместитель директора группы компаний BI.ZONE Константин Левин, темпы роста замедляются, но остаются двузначными. Среди драйверов рынка он назвал не только импортозамещение, но и рост угроз, регуляторное давление и спрос бизнеса на киберустойчивость. К перегретым сегментам Левин отнёс NGFW и EDR, где уже работает большое количество компаний и где, по его оценке, неизбежна консолидация.

Среди недооценённых направлений он выделил безопасность сервисов с искусственным интеллектом и машинным обучением, управление поверхностью атак, а также инструменты управления привилегированными и машиночитаемыми учётными данными.

«Заказчики переходят от быстрой замены отдельных решений к осознанному выбору архитектуры, поставщиков и сервисных моделей», — прокомментировали в ГК «Солар». Основным драйвером рынка там назвали спрос на реальную киберустойчивость.

Заместитель генерального директора Positive Technologies Максим Филиппов подчеркнул, что компании стали жёстче оценивать проекты с точки зрения практического результата и возврата инвестиций. Также заметной стала тенденция смещения фокуса с импортозамещения как самоцели на прикладную эффективность решений. В ближайшие годы, по его оценке, темпы роста будут умеренными, а рынок будут определять консолидация, спрос на интегральные платформы и решения.

Вице-президент по развитию бизнеса «Лаборатории Касперского» в России и странах СНГ Анна Кулашова отмечает, что российский рынок растёт на уровне мирового — на 10–12% в год. Его динамику определяют расширение поверхности атак, рост цифровизации и геополитическая напряжённость.

RSS: Новости на портале Anti-Malware.ru