تحلیل‌های اخیر یک عملیات تخریبی ۱۰ روزه را نشان می‌دهد که در آن یک عامل تهدید (Threat Actor) موفق شد کل محیط مجازی‌سازی یک سازمان، شامل چهار میزبان ESXi، تمامی ماشین‌های مجازی (VMs)، هر دو سرور vCenter و زیرساخت‌های پشتیبان (Backup) را نابود کند. نکته کلیدی در این حمله، عدم استفاده از آسیب‌پذیری‌های لایه مجازی‌سازی مانند Guest-to-Host Escape یا فساد حافظه (Memory Corruption) در هایپروایزر بود؛ در واقع تمامی اقدامات از طریق رابط‌های مدیریتی قانونی VMware اجرا شده‌اند.
دموکراتیزه شدن باج‌افزارهای ESXi
نشت کد منبع باج‌افزار Babuk در سپتامبر ۲۰۲۱، از جمله نسخه مخصوص ESXi، باعث شد تا توسعه باج‌افزارهای سازگار با این محیط برای مجرمانی با مهارت‌های فنی پایین تسهیل شود. دست‌کم ۱۰ خانواده باج‌افزاری مختلف از این کد نشت‌یافته استفاده کرده‌اند. این روند باعث شده است که لایه هایپروایزر به هدفی جذاب تبدیل شود، زیرا با کنترل این لایه، مهاجم می‌تواند به طور همزمان دامین کنترلرها، سرورهای اپلیکیشن و دیتابیس‌ها را از دسترس خارج کند.
شکاف دیدبانی (Visibility Asymmetry)
به دلیل ساختار اختصاصی VMkernel در ESXi، ابزارهای امنیتی استاندارد سیستم‌عامل‌های عمومی نمی‌توانند بدون تغییرات گسترده روی آن اجرا شوند. این موضوع باعث ایجاد یک شکاف دیدبانی می‌شود: در حالی که سیستم‌عامل‌های مهمان (Guest OS) توسط EDRها محافظت می‌شوند، اما اگر یک فرآیند در سطح ESXi فایل‌های دیسک ماشین مجازی (VMDK) را تغییر دهد، عامل EDR داخل ماشین مجازی قادر به مشاهده یا شناسایی این عملیات نیست و تنها پیامدهای آن مانند توقف ناگهانی سیستم را ثبت می‌کند.
مسیرهای دسترسی به لایه مجازی‌سازی
تحلیل‌ها چهار مسیر اصلی برای نفوذ به زیرساخت مجازی‌سازی را شناسایی کرده‌اند:
- سوءاستفاده از آسیب‌پذیری‌ها: استفاده از اکسپلویت‌های شناخته شده برای نفوذ به vCenter یا ESXi.
- سوءاستفاده از یکپارچگی Active Directory: برای مثال آسیب‌پذیری CVE-2024-37085 به مهاجمان اجازه می‌دهد با سوءاستفاده از گروه ESX Admins، دسترسی مدیریتی کامل به ESXi به دست آورند.
- استفاده مجدد از اعتبارنامه‌ها (Credential Reuse): به دست آوردن پسوردهای مدیریتی از سرورهای Jump یا سیستم‌های پشتیبان و استفاده از آن‌ها برای ورود به vCenter.
- زیرساخت پشتیبان به عنوان پل ارتباطی: سرورهای بک‌آپ به دلیل دسترسی گسترده به هایپروایزرها، نقاط تمرکز اعتماد (Trust Point) هستند و در صورت نفوذ، منبعی برای استخراج اعتبارنامه‌های سطح بالا محسوب می‌شوند.
تثبیت جایگاه (Persistence) و تبدیل vCenter به ابزار تهاجمی
در مورد بررسی شده، مهاجمان از طریق SSH به vCenter نفوذ کرده و با استفاده از MeshAgent و ایجاد یک تونل معکوس با Ligolo-ng (به صورت یک سرویس systemd)، دسترسی خود را تثبیت کردند. یکی از تکنیک‌های جالب، استفاده از vCenter Host Profiles بود. مهاجمان با تغییر پروفایل‌های میزبان، سرویس TSM-SSH را روی میزبان‌های ESXi فعال کردند تا بتوانند مستقیماً از طریق SSH به آن‌ها متصل شوند. این اقدام، یک مکانیسم قانونی برای انطباق (Compliance) را به یک مسیر دسترسی تهاجمی تبدیل کرد.
فاز تخریب و شناسایی رفتاری
پیش از اجرای نهایی باج‌افزار، مهاجمان معمولاً ماشین‌های مجازی را متوقف می‌کنند تا قفل فایل‌ها (File Locks) برداشته شود. این عملیات (مانند استفاده از دستورات esxcli vm process kill) یک سیگنال هشدار با اطمینان بالا (High-Confidence Signal) برای تیم‌های SOC است. در این حمله، فایل اجرایی باج‌افزار از طریق SFTP در مسیر /tmp قرار گرفت و پس از یک مرحله تست (Self-test) برای بررسی سازگاری با نسخه ESXi، دستور تخریب اجرا شد.
توصیه‌های امنیتی برای مدیران SOC و CISOها
- جداسازی دسترسی‌ها: وابستگی مستقیم ESXi به Active Directory را به حداقل برسانید و از حساب‌های مدیریتی مجزا برای دامین و هایپروایزر استفاده کنید.
- مانیتورینگ vCenter: هرگونه تغییر در Host Profile که منجر به فعال شدن SSH یا تغییرات در TSM شود را به عنوان یک رخداد مشکوک در نظر بگیرید.
- کنترل اجرای کد: گزینه execInstalledOnly را در ESXi فعال نگه دارید تا از اجرای باینری‌های غیررسمی و نصب نشده (مانند فایل‌های قرار گرفته در /tmp) جلوگیری شود.
- تحلیل ترافیک: ترافیک بین vCenter و ESXi را با یک Baseline رفتاری مقایسه کنید و هرگونه انحراف در پورت‌ها و پروتکل‌ها را بررسی نمایید.
