<h1 style="text-align: left;"> Trendings e Threat Intelligence &#8211; SOC iTeam </h1>
<h2> CVE-2021-21974 e CVE – 2020-3992</h2>
 
As vulnerabilidades identificadas entre 2020 e 2021 sob sistemas que utilizam ESXi, Vmware Vcenter e Vmware Cloud Foundation, estão sendo exploradas em massa “conforme as investigações atuais” do CERT-BR.
A exploração é realizada usando uma vulnerabilidade do OpenSLP(Service Location Protocol) que permite conectar dispositivos para identificar serviços que estão disponíveis dentro da rede de gerenciamento, consultando diretórios, ou seja, um dispositivo pode consultar sobre um serviço e sua localização, fazendo uma “solicitação de serviço” e especificando o tipo de serviço que deseja, por uma URL.
Conforme <a href="http://twitter.com/_wmliang_">Lucas Leong</a>, hunter de ambas as vulnerabilidades mencionadas abaixo, o bug encontrado no OpenSLP está na função “SLPParseSrvURL” que é chamada quando uma mensagem de solicitação dos serviços está sendo processada.
Portanto, utilizando o bug encontrado, foram detalhadas as seguintes vulnerabilidades:                                                     .
<ul>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-21974">CVE-2021-21974</a> – 
Detalha a vulnerabilidade do heap-overflow, possibilitando o ator malicioso que esteja na mesma rede de gerenciamento e que tenha acesso a porta 427 a possibilidade de acionar um fluxo de pilha nos serviços do OpenSLP, resultando em uma execução de código remota.</li>
</ul>
&nbsp;
<ul>
<li><a href="https://nvd.nist.gov/vuln/detail/CVE-2020-39923">CVE-2020-3992</a> &#8211; 
Detalha a vulnerabilidade do use-after-free, possibilitando o ator malicioso que esteja na mesma rede de gerenciamento e que tenha acesso a porta 427 para acionar um uso livre no serviço OpenSLP, resultando em uma execução de código remota.</li>
</ul>
Conforme a divulgação da VMware, essas vulnerabilidades se enquadram para as versões abaixo:<a href="https://it-eam.com/wp-content/uploads/2023/02/1-1.png"><img fetchpriority="high" decoding="async" class="alignleft size-full wp-image-5523" src="https://it-eam.com/wp-content/uploads/2023/02/1-1.png" alt="" width="805" height="318" srcset="https://blog.it-eam.com/wp-content/uploads/2023/02/1-1.png 805w, https://blog.it-eam.com/wp-content/uploads/2023/02/1-1-300x119.png 300w, https://blog.it-eam.com/wp-content/uploads/2023/02/1-1-768x303.png 768w" sizes="(max-width: 805px) 100vw, 805px" /></a>
&nbsp;
&nbsp;
Link: <a href="https://www.vmware.com/security/advisories/VMSA-2021-0002.html">https://www.vmware.com/security/advisories/VMSA-2021-0002.html</a>
<h2>Como protegemos o seu ambiente quanto a essas vulnerabilidades? </h2>
Com o foco em servidores VMware ESXi sem as devidas correções para as vulnerabilidades citadas acima, o atacante tem como objetivo realizar o roubo de dados e a criptografia utilizando o ransomware ESXIArgs. 
Esse ransomware criptografa arquivos com o . vmxf, .vmx, .vmdk, .vmsd, e .nvram, criando um arquivo .args para cada documento criptografado.
Quando o servidor é violado, os seguintes arquivos são armazenados na pasta “/tmp”:
<ul>
<li>encrypt &#8211; O executável criptografador ELF.</li>
<li>sh &#8211; Um script shell que atua como a lógica do ataque, realizando várias tarefas antes de executar o criptografador, conforme descrito abaixo.</li>
<li>pem &#8211; Uma chave pública RSA usada para criptografar a chave que criptografa um arquivo.</li>
<li>motd &#8211; A nota de resgate em forma de texto que será copiada para /etc/motd para que seja mostrada no login. O arquivo original do servidor será copiado para /etc/motd1.</li>
<li>html &#8211; A nota de resgate em formato HTML que substituirá a página inicial do VMware ESXi. O arquivo original do servidor será copiado para index1.html na mesma pasta.</li>
</ul>
O malware é executado por um arquivo de shell script que se inicia com vários argumentos de linha de comando. Quando iniciado, o script irá modificar os arquivos de configuração do host.
<ul>
<li>A seguinte linha de comando é executada no host para realizar a modificação dos arquivos “.vmx”, “.vmdk” e “.vswp”:
<ul>
<li>Os nomes dos arquivos de configuração são alterados para “1.vmdk” e “1.vswp”</li>
</ul>
</li>
</ul>
<a href="https://it-eam.com/wp-content/uploads/2023/02/3.png"><img decoding="async" class="alignleft size-full wp-image-5508" src="https://it-eam.com/wp-content/uploads/2023/02/3.png" alt="" width="534" height="79" srcset="https://blog.it-eam.com/wp-content/uploads/2023/02/3.png 534w, https://blog.it-eam.com/wp-content/uploads/2023/02/3-300x44.png 300w" sizes="(max-width: 534px) 100vw, 534px" /></a>
<ul>
<li>O script então termina todas as máquinas virtuais executando o comando “kill-9”, que realiza a eliminação forçada de todos os processos contendo a extensão “vmx”</li>
<li>O script então usará o comando esxcli storage filesystem list | grep &#8220;/vmfs/volumes/&#8221; | awk -F&#8217;  &#8216; &#8216;{print $2}” para obter uma lista dos volumes ESXi: 
<a href="https://it-eam.com/wp-content/uploads/2023/02/4-1.png"><img decoding="async" class="alignleft wp-image-5518" src="https://it-eam.com/wp-content/uploads/2023/02/4-1.png" alt="" width="278" height="143" srcset="https://blog.it-eam.com/wp-content/uploads/2023/02/4-1.png 489w, https://blog.it-eam.com/wp-content/uploads/2023/02/4-1-300x155.png 300w" sizes="(max-width: 278px) 100vw, 278px" /></a>
Para cada arquivo encontrado, o script criará um arquivo [file_name].args na mesma pasta.</li>
<li>Então o script usará o executável “encrypt” para criptografar os arquivos do servidor</li>
<li>Após a criptografia, o script substituirá o arquivo ESXi “index.html” e o arquivo “motd” do servidor com as notas de resgate.</li>
<li>As notas de resgate são chamadas de “ransom.html” e “ How to restore your files.html”<a href="https://it-eam.com/wp-content/uploads/2023/02/5-1.png"><img loading="lazy" decoding="async" class="alignleft size-full wp-image-5520" src="https://it-eam.com/wp-content/uploads/2023/02/5-1.png" alt="" width="806" height="329" srcset="https://blog.it-eam.com/wp-content/uploads/2023/02/5-1.png 806w, https://blog.it-eam.com/wp-content/uploads/2023/02/5-1-300x122.png 300w, https://blog.it-eam.com/wp-content/uploads/2023/02/5-1-768x313.png 768w" sizes="(max-width: 806px) 100vw, 806px" /></a></li>
</ul>
&nbsp;
&nbsp;
Nota de resgate ESXIArgs (BleepingComputer)
<ul>
<li>Finalmente, o script executa alguma limpeza, removendo o que 
parece ser um backdoor instalado para /store/packages/vmtools.py [<a href="https://www.virustotal.com/gui/file/773d147a031d8ef06ee8ec20b614a4fd9733668efeb2b05aa03e36baaf082878">VirusTotal</a>] e excluindo várias linhas dos seguintes arquivos:
<a href="https://it-eam.com/wp-content/uploads/2023/02/6-1.png"><img loading="lazy" decoding="async" class="alignleft size-full wp-image-5521" src="https://it-eam.com/wp-content/uploads/2023/02/6-1.png" alt="" width="848" height="121" srcset="https://blog.it-eam.com/wp-content/uploads/2023/02/6-1.png 848w, https://blog.it-eam.com/wp-content/uploads/2023/02/6-1-300x43.png 300w, https://blog.it-eam.com/wp-content/uploads/2023/02/6-1-768x110.png 768w" sizes="(max-width: 848px) 100vw, 848px" /></a>

Sugestões de mecanismos para detecção desta ameaça nas regras do seu siem:      </li>
</ul>
<h6>Detecção 1: 
Comunicações suspeitas utilizando a porta 427 para os Hosts ESXi:</h6>
Event Category is following  ‘firewall communication accepted” 
&amp;&amp; 
Source or Destination IP are “Hosts ESXi” 
&amp;&amp; 
Event matches “Destination port 427” 
&amp;&amp; 
Events are seen with the same “Destination port” in many minutes
<h6>Detecção 2: 
Fase inicial da execução dos scripts do Ransomware ESXIArgs:</h6>
CommandLine contains “Find Config $config_file” 
&amp;&amp; 
CommandLine contains “grep “/vmfs/volumes/”
&nbsp;
<h3>Recomendações</h3>
<ul>
<li>Desabilitando os serviços do <a href="https://kb.vmware.com/s/article/76372">OpenSLP</a> caso não seja necessário.</li>
<li>Realizado os updates utilizando os patchs já disponibilizados desde 2021.</li>
</ul>
<table>
<tbody>
<tr>
<td width="120">Produto</td>
<td width="62">Versão</td>
<td width="250">CVE</td>
<td colspan="2" width="94">Soluções alternativas</td>
</tr>
<tr>
<td width="120">ESXI</td>
<td width="62">7.0</td>
<td width="250">CVE-2021-2194/ CVE – 2020-3992</td>
<td width="92"><a href="https://kb.vmware.com/s/article/76372">KB76372</a></td>
<td width="2"></td>
</tr>
<tr>
<td width="120">ESXI</td>
<td width="62">6.7</td>
<td width="250">CVE-2021-2194/ CVE – 2020-3992</td>
<td width="92"><a href="https://kb.vmware.com/s/article/76372">KB76372</a></td>
<td width="2"></td>
</tr>
<tr>
<td width="120">ESXI</td>
<td width="62">6.5</td>
<td width="250">CVE-2021-2194/ CVE – 2020-3992</td>
<td width="92"><a href="https://kb.vmware.com/s/article/76372">KB76372</a></td>
<td width="2"></td>
</tr>
<tr>
<td width="120">Cloud Foundation</td>
<td width="62">4</td>
<td width="250">CVE-2021-2194/ CVE – 2020-3992</td>
<td width="92"><a href="https://kb.vmware.com/s/article/76372">KB76372</a></td>
<td width="2"></td>
</tr>
<tr>
<td width="120">Cloud Foundation</td>
<td width="62">3</td>
<td width="250">CVE-2021-2194/ CVE – 2020-3992</td>
<td width="92"><a href="https://kb.vmware.com/s/article/76372">KB76372</a></td>
<td width="2"></td>
</tr>
</tbody>
</table>

CVE-2021-21974-e-CVE-–-2020-3992

A exploração é realizada usando uma vulnerabilidade do OpenSLP(Service Location Protocol) que permite conectar dispositivos para identificar serviços que estão disponíveis dentro da rede de gerenciamento, consultando diretórios, ou seja, um dispositivo pode consultar sobre um serviço e sua localização, fazendo uma “solicitação de serviço” e especificando o tipo de serviço que deseja, por uma URL.