Trendings e Threat Intelligence – SOC iTeam
Published on 02/07/2023
Written by iT.eam Tecnologia
Read in 5 minutes
As vulnerabilidades identificadas entre 2020 e 2021 sob sistemas que utilizam ESXi, Vmware Vcenter e Vmware Cloud Foundation, estão sendo exploradas em massa “conforme as investigações atuais” do CERT-BR.
A exploração é realizada usando uma vulnerabilidade do OpenSLP(Service Location Protocol) que permite conectar dispositivos para identificar serviços que estão disponíveis dentro da rede de gerenciamento, consultando diretórios, ou seja, um dispositivo pode consultar sobre um serviço e sua localização, fazendo uma “solicitação de serviço” e especificando o tipo de serviço que deseja, por uma URL.
Conforme Lucas Leong, hunter de ambas as vulnerabilidades mencionadas abaixo, o bug encontrado no OpenSLP está na função “SLPParseSrvURL” que é chamada quando uma mensagem de solicitação dos serviços está sendo processada.
Portanto, utilizando o bug encontrado, foram detalhadas as seguintes vulnerabilidades: .
Conforme a divulgação da VMware, essas vulnerabilidades se enquadram para as versões abaixo:
Link: https://www.vmware.com/security/advisories/VMSA-2021-0002.html
Com o foco em servidores VMware ESXi sem as devidas correções para as vulnerabilidades citadas acima, o atacante tem como objetivo realizar o roubo de dados e a criptografia utilizando o ransomware ESXIArgs.
Esse ransomware criptografa arquivos com o . vmxf, .vmx, .vmdk, .vmsd, e .nvram, criando um arquivo .args para cada documento criptografado.
Quando o servidor é violado, os seguintes arquivos são armazenados na pasta “/tmp”:
O malware é executado por um arquivo de shell script que se inicia com vários argumentos de linha de comando. Quando iniciado, o script irá modificar os arquivos de configuração do host.
Para cada arquivo encontrado, o script criará um arquivo [file_name].args na mesma pasta.
Nota de resgate ESXIArgs (BleepingComputer)
Sugestões de mecanismos para detecção desta ameaça nas regras do seu siem:
Event Category is following ‘firewall communication accepted”
&&
Source or Destination IP are “Hosts ESXi”
&&
Event matches “Destination port 427”
&&
Events are seen with the same “Destination port” in many minutes
CommandLine contains “Find Config $config_file”
&&
CommandLine contains “grep “/vmfs/volumes/”
Produto | Versão | CVE | Soluções alternativas | |
ESXI | 7.0 | CVE-2021-2194/ CVE – 2020-3992 | KB76372 | |
ESXI | 6.7 | CVE-2021-2194/ CVE – 2020-3992 | KB76372 | |
ESXI | 6.5 | CVE-2021-2194/ CVE – 2020-3992 | KB76372 | |
Cloud Foundation | 4 | CVE-2021-2194/ CVE – 2020-3992 | KB76372 | |
Cloud Foundation | 3 | CVE-2021-2194/ CVE – 2020-3992 | KB76372 |
Sign up for our newsletter
Fill out the form to receive exclusive content directly to your e-mail that will help transform your business.