Napadi na VMware vCenter skozi potno prehodno luknjo

Napadalci so izkoristili kritično ranljivost v VMware vCenter's Syslog Serverju, ki jim omogoča vbrizgavanje in izvajanje zlonamerne kode. Kršitev je bila identificirana s strani raziskovalcev kibernetske varnosti pri Quirso, ki so podrobno opisali svoje ugotovitve na platformi Medium.

V torek so odkrili 361 IP naslovov, povezanih s ogroženimi VMware vCenter primerki. Od teh jih je bilo 55 v Nemčiji, sledijo jih ZDA s 41 naslovi in Turčija s 38. Napadna kampanja se je začela kmalu po razkritju ranljivosti 29. julija. Prvi okuženi sistemi so se po petih dneh, od 3. avgusta, obrnili na napadalčevo infrastrukturo. V dveh dneh je bilo odkritih že 343 od 361 IP naslovov. Napadalci so uporabljali tehniko z imenom "reverse_ssh", odprtokodni SSH-osnovni reverse-shell okvir, ki se običajno uporablja med testiranjem prodora.

To orodje omogoča avtomatizirane povezave, posredovanje portov, prenos datotek in upravljanje shell-ov na daljavo. Te zmogljivosti so napadalcem omogočile, da ohranijo stalen dostop v ogroženih omrežjih. IT-upraviteljem svetujemo, da preverijo, ali so njihovi VMware vCenter Syslog strežniki posodobljeni in da spremljajo nepričakovano programsko opremo, kot je reverse_ssh, ki se izvaja na njihovih sistemih. Izkoriščanje te ranljivosti poudarja pomen pravočasnega upravljanja popravkov v podjetniških okoljih.

Obseg kompromisa nakazuje, da so napad organizirali dobro zasnovani akterji, ki so sposobni uporabiti sofisticirane tehnike za izogibanje odkrivanju. Strokovnjaki za varnost opozarjajo, da je bila neposredna grožnja ublažena z posodobitvijo sistemov, vendar ostaja možnost dolgoročne škode. Kompromitirani sistemi bi lahko služili kot vstopne točke za nadaljnje napade, kar bi lahko privedlo do kršitev podatkov, uvajanja ransomwareja ali drugih oblik kibernetskega kriminala. Prisotnost reverse_ssh kaže, da so napadalci morda v omrežju vzpostavili oporišče, kar jim omogoča, da se premikajo pozneje in izločijo občutljive informacije.

Medtem ko se situacija razvija, se IT strokovnjaki pozivajo, da opravijo temeljite preglede svoje infrastrukture in uvedbo dodatnih orodij za spremljanje, da bi odkrili nenormalne dejavnosti.