• 提交需求
    *
    *

    *
    *
    *
    立即提交
    点击”立即提交”，表明我理解并同意 《黄金城科技隐私条款》

    logo

      产品与服务
      解决方案
      技术支持
      合作发展
      关于黄金城
      申请试用
        【预警】以全球 VMware ESXi 服务器为目标的ESXiArgs 勒索软件已到达战�。。。�
        发布时间：2023-02-10 阅读次数： 950 次
        概  况

        近日，黄金城黄金城官网实验室根据勒索病毒威胁情报，发现了一款针对 VMware ESXi 服务器的新型勒索软件（ESXiArgs）正在全球范围内大规模传播。该勒索软件于今年2月开始大规模出现。攻击者利用两年前未经修补的 RCE 漏洞 CVE-2021-21974 将恶意文件传输至 ESXi 导致 OpenSLP 服务中的堆溢出，从而获得交互式访问，借以部署新的 ESXiArgs 勒索病毒。

        漏洞利用
        CVE-2021-21974漏洞与 OpenSLP 相关，攻击者在可访问427端口的条件下，构造恶意的SLP请求触发OpenSLP服务中的堆溢出，从而导致远程执行代码。
        国内存在该漏洞影响的服务器数量如下所示（基于shodan统计数据）：

        版本

        数量统计

        ESXi 6.5

        715

        ESXi 6.7

        3184

        ESXi 7.0

        1271

        ESXi 6.0.0

        665

        ESXi 5.0.0
        		342

        恶意文件分析

        ESXiArgs勒索软件在受感染的 ESXi 服务器上使用.vmxf、.vmx、.vmdk、.vmsd 和 .nvram 扩展名加密文件，并为每个包含元数据（可能需要解密）的加密文档创建一个.args文件。

        虽然这次攻击背后的威胁行为者声称窃取了数据，但一名受害者在 BleepingComputer 论坛上报告说，他们的事件并非如此。

        受害者还在锁定的系统上发现了名为“ransom.html”和“How to Restore Your Files.html”的赎金票据，指示受害者通过 TOX_ID与攻击者取得联系，以恢复加密文件或防止数据被泄露。

        图片

        解决方案

        1.勒索风险自查

        1)检查/store/packages/目录下是否存在vmtools.py后门文件。如果存在，建议立即删除该文件。

        2)检查/tmp/目录下是否存在encrypt、encrypt.sh、public.pem、motd、index.html文件，如果存在，应及时删除。

        2.勒索处置建议

        1)立即隔离受感染的服务器，进行断网

        2)使用数据恢复工具恢复数据或重装ESXi

        美国CISA发布了 ESXiArgs 勒索软件恢复脚本，相关链接如下：


        https://github.com/cisagov/ESXiArgs-Recover

        3)重复“勒索风险自查”步骤

        4)恢复修改后的部分文件

        • 查看/usr/lib/vmware目录下的index.html文件是否为勒索信，如果是，立即删除该文件。

        • 看/etc/目录下是否存在motd文件，如果存在，立即删除。

        3.漏洞加固

        在 ESXi 中禁用 OpenSLP 服务，或者升级至 ESXi 7.0 U2c 或 ESXi 8.0 GA，ESXi 7.0 U2c或 ESXi 8.0 GA 版本默认情况下禁用该服务。

        4.数据备份

        针对重要的数据进行双机备份或云备份。

        5.安装黄金城诺亚防勒索

        黄金城通过对大量勒索病毒的分析，基于零信任、守白知黑原则，创造性地研究出针对勒索病毒的终端产品【诺亚防勒索系统】。诺亚防勒索在不关心漏洞传播方式的情况下，可防护任何已知或未知的勒索病毒。

        鉴于勒索病毒的无差别广谱特征，诺亚防勒索支持将已知病毒库导入，可先匹配，内置病毒诱捕功能，精确识别勒索病毒的入侵和告警。【诺亚防勒索系统】已支持查杀拦截此次事件使用的ESXiArgs 勒索软件。

        图片

        • 文档防勒索

        针对员工PC、服务器的文档进行防护，如：核心机密文档、日常办公文档、高价值文件、各类隐私文档。

        • 数据库防勒索

        针对Oracle、Sql Server、Mysql、DB2、DM、人大金仓、达梦、优炫等主流数据库、国产数据库，指定数据库类型或添加数据库可执行程序，允许只有数据库本身才能对数据文件进行修改等操作。

        • 哑终端防勒索

        针对广泛使用哑终端的关键性行业，如银行的ATM机、加油站自助机、医院自助查询机等。在堡垒模式下，任何新的软件都无法运行，勒索软件运行失败，从而无法破坏文件。


        上一条：黄金城科技发布《2023年1月勒索病毒威胁报告》
        下一条：【漏洞通告】 Jira Service Management Server 和 Data Center 身份认证绕过漏洞
        免费试用
        服务热线

        马上咨询

        400-811-3777

        回到顶部
        【网站地图】【sitemap】