Uwaga! Grupa ransomware Play atakuje serwery ESXi

Łowcy zagrożeń Trend Micro odkryli, iż grupa Play, zajmująca się tworzeniem ransomware, wdraża jego nowy wariant na Linuksa. Celem są środowiska ESXi.

Nic tak nie przyciąga podmiotów zagrażających jak możliwość ataku na serwery ESXi, które zarządzają wieloma maszynami wirtualnymi w organizacjach i firmach.

Pomyślne naruszenie tych serwerów może im zapewnić dostęp do wielu cennych danych i kontrolę nad całymi środowiskami sieciowymi.

Ponadto udana eksploatacja może umożliwić przestępcom jednoczesne wdrożenie systemu ransomware w wielu systemach i wyrządzenie organizacjom szkód operacyjnych oraz finansowych.

Co wiemy o nowym malware?

Wiadomo, iż malware jest trudny do wykrycia i aktywuje się tylko, gdy wykryje obecność środowiska ESXi.

Próbka przesłana do VirusTotal wskazuje, iż udało mu się ominąć zabezpieczenia. Z analizy Trend Micro wynika, iż wariant systemu Linux jest skompresowany w pliku RAR wraz z wariantem dla systemu Windows i przechowywany pod adresem URL hxxp://108.61.142[.]190/FX300.rar.

Źródło: Trend Micro

Malware wyłącza także system dla wszystkich maszyn wirtualnych i zmienia komunikaty otrzymane po ponownym uruchomieniu, aby sprawiać wrażenie, iż nic się nie stało. Wszystko wykonuje dzięki poleceń specyficznych dla ESXi.

W rezultacie zmienia nazwy zaszyfrowanych plików na rozszerzenie „.PLAY” i pozostawia żądanie okupu.

Łańcuch infekcji. Źródło: Trend Micro

Oznacza to, iż Play przyjął nowe strategie mające na celu atakowanie infrastruktury wirtualizacji o znaczeniu krytycznym, co doprowadziło do znacznych zakłóceń operacyjnych i skomplikowanych działań związanych z odzyskiwaniem danych.

Skąd zaciągany jest malware?

Dochodzenie w sprawie infrastruktury hostingowej systemu ransomware Play ujawniło powiązania z Prolific Puma. Ten cyberprzestępca jest znany ze sprzedaży systemu do skracania linków w łączach innym podmiotom stwarzającym zagrożenia internetowe.

Adres IP, na którym znajduje się zestaw narzędzi systemu ransomware Play, jest rozpoznawany jako domeny zgodne ze wzorcem algorytmu generowania losowych domen (RDGA), typowym dla Prolific Puma.

Zalecenia w celu ochrony przed atakami na środowiska ESXi

Poniżej wymieniamy wszystkie środki zaradcze, o których wspomina Trend Micro:

• Regularnie łataj i aktualizuj środowiska ESXi.
• Wprowadź mechanizm wirtualnego wdrażania poprawek w celu natychmiastowego ograniczenia ryzyka.
• Sprawdzaj i poprawiaj błędne konfiguracje ESXi.
• Egzekwuj silną kontrolę dostępu dzięki usługi MFA.
• Stosuj segmentację dla systemów i krytycznych sieci.
• Zminimalizuj obszary ataku, wyłączając niepotrzebne usługi.
• Utrzymuj i regularne testuj w trybie offline kopie zapasowe.

Wdróż monitorowanie bezpieczeństwa i opracuj plany reagowania na incydenty.