گزارش‌های فنی از یک نفوذ گسترده توسط گروه باج‌افزاری BlackNevas حکایت دارد که طی یک بازه ۱۰ روزه، کل زیرساخت مجازی‌سازی یک سازمان را با هدف تخریب کامل از کار انداخته است. در این حمله، مهاجمان موفق شدند چهار هاست ESXi، تمامی ماشین‌های مجازی (VM) مستقر روی آن‌ها، Applianceهای vCenter Server (VCSA) و تمامی زیرساخت‌های پشتیبان (Backup) متصل را به‌طور کامل پاکسازی کنند.
روش حمله: سوءاستفاده از ابزارهای مدیریتی قانونی
برخلاف بسیاری از حملات که بر اکسپلویت‌های (Exploit) سطح هایپروایزر (Hypervisor) یا آسیب‌پذیری‌های حافظه تکیه دارند، BlackNevas از هیچ آسیب‌پذیری فنی در لایه مجازی‌سازی استفاده نکرد. در عوض، این گروه از رابط‌های مدیریتی قانونی VMware برای انجام عملیات خود بهره برد، به طوری که فعالیت‌های آن‌ها در ابتدا مشابه فعالیت‌های یک مدیر سیستم (Administrator) عادی به نظر می‌رسید.
- سرقت هویت (Credential Theft): مهاجمان با استفاده از حساب‌های کاربری معتبر (مطابق با تکنیک MITRE ATT&CK T1078) که از سیستم‌های غیرمجازی‌سازی در داخل شبکه به دست آمده بود، به Applianceهای vCenter دسترسی پیدا کردند.
- استفاده از ابزارهای دسترسی از راه دور: مهاجمان با استفاده از SSH به عنوان کاربر root، ابزار MeshAgent را مستقر کردند و سپس یک تونل معکوس (Reverse Tunnel) با استفاده از Ligolo-ng ایجاد کردند تا ارتباط خود را حفظ کنند.
- سوءاستفاده از vCenter Host Profiles: یکی از تکنیک‌های غیرمعمول این گروه، استفاده از جریان کاری Compliance در Host Profiles برای تغییر پیکربندی و فعال‌سازی سرویس SSH بود که به آن‌ها اجازه می‌داد مستقیماً به هاست‌های ESXi متصل شوند.
تخریب زیرساخت و حذف مسیر بازیابی
مهاجمان پیش از اجرای فاز نهایی، چندین روز قبل از سرایت اصلی، سرویس‌های آنتی‌ویروس را در محیط پشتیبان غیرفعال کرده و سرویس‌های Backup را متوقف کردند. این اقدام باعث شد که مسیر بازیابی داده‌ها (Restore Path) پیش از آسیب دیدن محیط عملیاتی، از بین برود. در مرحله نهایی، با اجرای دستورات خاص، حدود ۲ کیلوبایت از ابتدای هر دیسک مجازی بازنویسی شد که منجر به تخریب MBR و هدرهای اصلی GPT گردید و بازگردانی داده‌ها را بسیار دشوار کرد.
توصیه‌های امنیتی برای مدیران SOC و CISOها
برای مقابله با چنین تهدیداتی، اتکا به پچ کردن (Patching) به تنهایی کافی نیست، زیرا مهاجمان از مسیرهای قانونی هویت استفاده می‌کنند. اقدامات زیر ضروری است:
- مدیریت هویت در سطح Tier 0: سرویس vCenter باید به عنوان یک دارایی Tier 0 در نظر گرفته شود و دسترسی به آن تنها از طریق هویت‌های مدیریتی اختصاصی و با استفاده از MFA مقاوم در برابر فیشینگ انجام شود.
- جداسازی محیط‌های پشتیبان: سطح دسترسی و هویت‌های مورد نیاز برای سیستم‌های پشتیبان باید از محیط عملیاتی (Production) و Active Directory اصلی کاملاً مجزا باشد.
- مانیتورینگ پیشرفته: نظارت بر تغییرات در Host Profiles و ارسال لاگ‌های حیاتی مانند vpxa.log، vobd.log و auth.log به یک Syslog مرکزی و امن برای جلوگیری از پاک شدن آن‌ها در صورت ریبوت شدن سیستم.
- فعال‌سازی Lockdown Mode: در صورت امکان، از حالت Lockdown Mode در محیط‌های حساس استفاده شود تا دسترسی‌های غیرمجاز محدود گردد.
