Ransomware BlackMatter เวอร์ชัน Linux มุ่งเป้าโจมตีไปยัง VMWare ESXi

กลุ่ม BlackMatter ได้เข้าร่วมกลุ่มปฏิบัติการแรนซัมแวร์เพื่อพัฒนาตัวเข้ารหัสเวอร์ชัน Linux ที่กำหนดเป้าหมายไปยัง VMWare ESXi
องค์กรมีการเปลี่ยนไปใช้ Virtual Machine สำหรับเซิร์ฟเวอร์ของตนมากขึ้นเรื่อยๆ เพื่อการจัดการทรัพยากรที่ดีขึ้นและการกู้คืนระบบจากความเสียหาย เนื่องจาก VMware ESXi เป็นแพลตฟอร์ม Virtual Machine ที่ได้รับความนิยมมากที่สุด ทำให้ Ransomware ส่วนใหญ่เริ่มพัฒนาตัวเข้ารหัสที่มุ่งเป้าโจมตีไปที่ Virtual Machine กันมากขึ้น

BlackMatter มุ่งเป้าไปที่ VMware ESXi
เมื่อวันที่ 4 สิงหาคมที่ผ่านมา นักวิจัยด้านความปลอดภัย MalwareHunterTeam พบตัวเข้ารหัส Linux ELF64 [VirusTotal] ของกลุ่มแรนซัมแวร์ BlackMatter ที่กำหนดเป้าหมายเซิร์ฟเวอร์ไปยัง VMware ESXi โดยเฉพาะ โดยดูจากฟังก์ชันของการทำงาน

BlackMatter เป็นปฏิบัติการแรนซัมแวร์ที่ค่อนข้างใหม่ ซึ่งเริ่มต้นเมื่อเดือนที่แล้ว และเชื่อว่าเป็นการรีแบรนด์ของ DarkSide หลังจากที่นักวิจัยพบตัวอย่าง ก็พบว่าการทำงานเข้ารหัสที่ใช้โดย Ransomware นั้นเป็นแบบเดียวกับที่ใช้ใน DarkSide

DarkSide ปิดตัวลงหลังจากโจมตี และปิดระบบท่อส่งน้ำมันโคโลเนียล จึงทำให้ถูกกดดัน และไล่ล่าอย่างหนักจากการบังคับใช้กฎหมายระหว่างประเทศ และรัฐบาลสหรัฐฯ

จากตัวอย่างตัวเข้ารหัส Linux ของ BlackMatter ที่ BleepingComputer ได้รับมา เป็นที่ชัดเจนว่าได้รับการออกแบบมาโดยเฉพาะเพื่อกำหนดเป้าหมายไปยังเซิร์ฟเวอร์ VMWare ESXi

Vitali Kremez ผู้เชี่ยวชาญของบริษัท Intel ซึ่งได้ลองทดสอบด้วยการ Reverse Engineering ได้ให้ข้อมูลกับทาง BleepingComputer ว่าผู้โจมตีได้สร้างไลบรารี 'esxi_utils' ที่ใช้ในการดำเนินการต่างๆ บนเซิร์ฟเวอร์ VMware ESXiรูปที่ 1.1 ตัวอย่าง แต่ละฟังก์ชัน

รูปที่ 1.2 ตัวอย่าง ฟังก์ชัน stop_firewall()

ในขณะที่ฟังก์ชัน stop_vm() จะดำเนินการคำสั่ง esxcli ต่อไปนี้ รูปที่ 1.3 ตัวอย่าง ฟังก์ชัน stop_vm()

Ransomware ทั้งหมดที่กำหนดเป้าหมายไปยังเซิร์ฟเวอร์ ESXi พยายามปิดเครื่องเสมือนก่อนที่จะเข้ารหัสไดรฟ์ เพื่อป้องกันข้อมูลเสียหายขณะเข้ารหัส

เมื่อ VM ทั้งหมดถูกปิด มันจะเข้ารหัสไฟล์ที่ตรงกับนามสกุลไฟล์เฉพาะตามการกำหนดค่าที่มาพร้อมกับ Ransomware

การกำหนดเป้าหมายเซิร์ฟเวอร์ ESXi นั้นมีประสิทธิภาพมากเมื่อทำการโจมตีโดยใช้ Ransomware เนื่องจากช่วยให้ผู้คุกคามสามารถเข้ารหัสเซิร์ฟเวอร์จำนวนมากพร้อมกันด้วยคำสั่งเดียว

เมื่อมีธุรกิจจำนวนมากที่ย้ายไปยังแพลตฟอร์มประเภทนี้สำหรับเซิร์ฟเวอร์ เราจะยังคงเห็นนักพัฒนาแรนซัมแวร์มุ่งเน้นไปที่เครื่อง Windows เป็นหลัก แต่ยังสร้างตัวเข้ารหัสเวอร์ชัน Linux โดยเฉพาะซึ่งมุ่งเป้าไปยัง ESXi

Emsisoft CTO Fabian Wosar บอกกับ BleepingComputer ว่าปฏิบัติการ Ransomware อื่นๆ เช่น REvil, HelloKitty, Babuk, RansomExx/Defray, Mespinoza, GoGoogle ได้สร้างตัวเข้ารหัสเวอร์ชัน Linux เพื่อจุดประสงค์นี้เช่นกัน

ที่มา : Bleepingcomputer

VMware ได้เน้นย้ำเกี่ยวกับแพตช์สำหรับแก้ไขช่องโหว่ระดับ Critical บน vCenter Server ที่อาจใช้โดยกลุ่มผู้ไม่หวังดีในการยกระดับสิทธิ์เพื่อสั่งรันโค้ดระยะไกลบน Server ได้

CVE-2021-21985 (RCE vulnerability in the vSphere Client) เป็นช่องโหว่ที่เกิดจากการไม่ได้ตรวจสอบความถูกต้องของ Input ใน plug-in สำหรับตรวจสอบประสิทธิภาพการทำงานของ Virtual SAN (vSAN) ซึ่งจะถูกเปิดใช้งานโดยค่า default ใน vCenterServer และทาง VMware ได้กล่าวเกี่ยวกับช่องโหว่นี้ว่า “ผู้โจมตีที่สามารถเข้าถึงเครือข่ายจะไปที่พอร์ต 443 และใช้ประโยชน์จากช่องโหว่เพื่อรันคำสั่งด้วยสิทธ์ Privilege บนระบบปฏิบติการใน host ของ vCenter Server ” โดยช่องโหว่นี้มีระดับความรุนแรง CVSS อยู่ที่ 9.8/10

CVE-2021-21986 (Authentication mechanism issue in vCenter Server Plug-ins) เป็นช่องโหว่ที่อยู่ในขั้นตอนการพิสูจน์ตัวตนของ vSphere สำหรับ Virtual SAN Health Check, Site Recovery, vSphere Lifecycle Manager, and VMware Cloud Director Availability plug-ins ที่อนุญาตให้ผู้โจมตีใช้งานฟังก์ชัน plug-in ได้โดยไม่ต้องมีการตรวจสอบความถูกต้อง โดยช่องโหว่นี้มีระดับความรุนแรง CVSS อยู่ที่ 6.5/10 (more…)

VMware ออกแพตช์แก้ไขช่องโหว่ที่สำคัญ 2 รายการในแพลตฟอร์ม IT operations management อย่าง vRealize Operations ซึ่งช่องโหว่อาจทำให้ผู้โจมตีสามารถขโมยข้อมูล Administrative credentials ได้ โดยทั้ง 2 ช่องโหว่ถูกค้นพบโดย Egor Dimitrenko จาก Positive Technologies

ช่องโหว่เเรกเป็น CVE-2021-21975 มีคะแนนความรุนเเรงอยู่ที่ CVSS 8.6/10 โดยช่องโหว่ถูกพบใน vRealize Operations Manager API ซึ่งช่องโหว่จะทำให้ผู้โจมตีสามารถใช้เทคนิค Server-side request forgery (SSRF) เพื่อเข้าถึงการทำงานของเซิร์ฟเวอร์หรือเข้าถึงการจัดการข้อมูลที่ผู้โจมตีจะไม่สามารถเข้าถึงได้โดยตรงจากระยะไกล

ช่องโหว่ที่สองเป็น CVE-2021-21983 มีคะแนนความรุนเเรงอยู่ที่ CVSSv3 7.2/10 เป็นช่องโหว่ Arbitrary file write หรือช่องโหว่การเขียนไฟล์โดยไม่ได้รับอนุญาตใน VROps Manager API ที่สามารถใช้เพื่อเขียนไฟล์ไปยังระบบปฏิบัติการได้

ทั้งนี้ช่องโหว่ทั้ง 2 รายการ ผู้โจมตีจะต้องมี administrative credentials ก่อนจึงจะสามารถใช้ประโยชน์จากช่องโหว่ได้ อย่างไรก็ตาม VMware ได้ออกเเพตช์สำหรับแก้ไขช่องโหว่ทั้ง 2 แล้วใน vROps Manager เวอร์ชัน 7.5.0 ถึง 8.3.0 ผู้ดูแลระบบควรทำการอัปเดตแพตช์ให้เป็นเวอร์ชันดังกล่าวเพื่อป้องกันการตกเป็นเป้าหมายของผู้ประสงค์ร้าย

ที่มา: databreachtoday

ช่องโหว่ดังกล่าว (CVE-2021-21982) มีความรุนแรงระดับ critical ได้รับคะแนน CVSS 9.1 จาก 10 ส่งผลให้ผู้โจมตีสามารถเข้าถึงระบบได้โดยไม่ต้องพิสูจน์ตัวตน (authentication bypass) Carbon Black Cloud Workload เป็นผลิตภัณฑ์ Data Center ที่มีความสามารถด้าน security มาด้วย หากผู้โจมตีสามารถเข้าถึงหน้า URL สำหรับเข้าสู่ระบบของผู้ดูแลได้ ก็จะสามารถโจมตีเพื่อรับ authentication token และสามารถใช้งาน API ของผลิตภัณฑ์ได้

VMware Carbon Black Cloud Workload appliance เวอร์ชั่น 1.0.1 และก่อนหน้านั้น คือเวอร์ชั่นที่ได้รับผลกระทบ ควรอัพเดตเป็นเวอร์ชั่น 1.0.2

ที่มา: securityaffairs, vmware

VMware ออกเเพตช์แก้ไขช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Remote Code Execution - RCE) บนผลิตภัณฑ์ View Planner 4.6

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2021-21978 มีระดับความรุนเเรง CVSS อยู่ที่ 8.6/10 ถูกรายงานโดย Mikhail Klyuchnikov นักวิจัยจาก Positive Technologies โดยช่องโหว่เกิดจากการตรวจสอบอินพุตที่ไม่เหมาะสม ผู้โจมตีสามารถนำช่องโหว่นี้ไปใช้ประโยชน์ได้โดยการอัปโหลดไฟล์ที่สร้างขึ้นมาเป็นพิเศษในเว็บแอปพลิเคชัน logupload เพื่อทำการเรียกใช้โค้ดโดยไม่ได้รับอนุญาต ซึ่งผู้โจมตีที่ต้องการใช้ประโยชน์จากช่องโหว่นี้จำเป็นต้องเข้าถึงเครือข่ายก่อนจึงจะเข้าถึงในส่วน View Planner Harness เพื่อทำการอัปโหลดและเรียกใช้ไฟล์ที่สร้างขึ้นมาเป็นพิเศษได้

ทั้งนี้ช่องโหว่จะส่งผลกระทบกับ VMware View Planner เวอร์ชัน 4.6 ผู้ใช้ควรทำการอัปเดตเเพตช์ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเป้าหมายของผู้ประสงค์ร้าย

ที่มา: securityweek, vmware

เมื่อวันที่ 23 กุมภาพันธ์ 2021 ที่ผ่านมา VMware ออกแพตช์ให้กับ VMware vCenter Server (vCenter Server) เพื่อแก้ไขช่องโหว่ร้ายแรง CVE-2021-21972 ซึ่งทำให้ผู้โจมตีสามารถส่งคำสั่งอันตรายมาจากระยะไกลผ่านพอร์ต Hโดยที่ไม่ต้องยืนยันตัวตนเพื่อทำการรันบนระบบปฏิบัติการณ์ของเครื่องที่มี vCenter Server ได้

โดยหลังจากการประกาศแพตช์ช่องโหว่ดังกล่าวเพียงวันเดียวก็มีการเผยแพร่ POC ของช่องโหว่ดังกล่าวทันที ทำให้เกิดการสแกนหาเครื่องที่มีช่องโหว่ตามมา ซึ่งจากการค้นหาผ่าน shodan.

VMware ประกาศแพตช์ด้านความปลอดภัยให้กับช่องโหว่รหัส CVE-2020-3999 ซึ่งเป็นช่องโหว่ DoS ส่งผลกระทบต่อผลิตภัณฑ์ในกลุ่ม ESXi, Workstation, Fusion และ Cloud Foundation

ช่องโหว่ CVE-2020-3999 ถูกค้นพบโดย Lucas Leong และ Murray McAllister โดยผลลัพธ์ของช่องโหว่นั้นทำให้ผู้ใช้งานซึ่งมีสิทธิ์เป็นแค่ผู้ใช้งานทั่วไปในระบบที่สามารถเข้าถึง virtual machine ต่าง ๆ ได้สามารถสร้างเงื่อนไขเพื่อทำให้โปรเซส vmx ของ virtual machine นั้น crash และทำให้เกิดเงื่อนไขของการปฏิเสธการให้บริการ

ผู้ดูแลระบบสามารถตรวจสอบเวอร์ชันของผลิตภัณฑ์ที่ได้รับผลกระทบเพิ่มเติมได้จากหัวข้อ Response Matrix จากลิงค์ในแหล่งที่มาข่าว

ที่มา: vmware

VMware ออกเเพตซ์การอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ 2 รายการที่สำคัญและมีความรุนแรงสูงใน VMware ESXi, Workstation, Fusion และ Cloud Foundation โดยช่องโหว่จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ดและเพิ่มสิทธิ์ในระบบได้ ทั้งนี้ช่องโหว่ทั้ง 2 รายการถูกค้นพบโดย Xiao Wei และ Tianwen Tang จาก Qihoo 360 Vulcan Team ในวันแรกของการแข่งขัน Tianfu Cup Pwn ในปี 2020 ที่ผ่านมา

ช่องโหว่ CVE-2020-4004 (CVSSv3: 9.3/10) เป็นช่องโหว่ประเภท Use-after-free ที่อยู่ใน XHCI USB controller ของ VMware ESXi, Workstation, และ Fusion โดยช่องโหว่จะช่วยให้ผู้โจมตีที่มีสิทธิ์ระดับผู้ดูแลระบบทั่วไปบนเครื่อง Virtual Machine (VM) สามารถรันโค้ดในขณะที่กระบวนการ VMX ของ VM ทำงานบนโฮสต์ ซึ่งเป็นกระบวนการที่ใช้ในการคอนฟิกบนโฮสต์ VM อินสแตนซ์

ช่องโหว่ CVE-2020-4005 (CVSSv3: 8.8/10) เป็นช่องโหว่ประเภทการยกระดับสิทธิ์ใน VMware ESXi โดยช่องโหว่จะทำให้ผู้โจมตีที่มีสิทธิ์ภายใน VMX เท่านั้นสามารถยกระดับสิทธิ์ในระบบได้

ผู้ดูแลระบบควรทำการอัปเดตแพตซ์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ ทั้งนี้ช่องโหว่ CVE-2020-4004 ยังมีวิธีการป้องกันอีกวิธีการหนึ่งคือการการลบ XHCI USB controller (USB 3.x) หากไม่ได้ใช้งานออกจากเครื่อง VM ที่อาจตกเป็นเป้าหมาย

ที่มา: bleepingcomputer | theregister

VMware ออกประกาศเมื่อกลางอาทิตย์ที่ผ่านมาเกี่ยวกับแพตช์ใหม่แก้ไขแพตช์ที่ไม่สมบูรณ์ของช่องโหว่ CVE-2020-3992 ซึ่งเป็นช่องโหว่ use-after-free ในเซอร์วิส OpenSLP ของ ESXi ซึ่งส่งผลให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายได้โดยไม่ต้องพิสูจน์ตัวตน อย่างไรก็ตามการโจมตีช่องโหว่นี้ก็มีเงื่อนไขที่แฮกเกอร์จะต้องอยู่ใน management network และต้องเข้าถึงพอร์ต 427 ของ ESXi เพื่อทำการโจมตี

ช่องโหว่ดังกล่าวถูกค้นพบในเดือนกรกฎาคมที่ผ่านมาและได้ถูกแพตช์ไปแล้วในรอบแพตช์เดือนตุลาคม อย่างไรก็ตาม VMware ตรวจพบว่าแพตช์ดังกล่าวนั้นไม่สมบูรณ์ซึ่งอาจทำให้ความเสี่ยงที่จะถูกโจมตียังมีอยู่ VMware จึงได้มีการออกแพตช์ใหม่ให้แก่ ESXi 6.5, 6.7 และ 7.0 โดยสำหรับ VMware Cloud Foundation แพตช์กำลังอยู่ในช่วงดำเนินการเผยแพร่

นอกเหนือจากแพตช์แก้ของช่องโหว่ CVE-2020-3992 แล้ว ในประกาศของ VMware รหัส VMSA-2020-0023.1 นั้น ยังมีอีกช่องโหว่อีก 5 ช่องโหว่ที่มีการถูกแพตช์ด้วย ดูรายละเอียดเพิ่มเติมได้จาก : vmware

ที่มา: securityweek

VMware ออกเเพตซ์แก้ไขช่องโหว่ระดับ Critical จำนวน 6 รายการในผลิตภัณฑ์ ESXi, Workstation, Fusion และ NSX-T

VMware ได้ประกาศออกเเพตซ์แก้ไขช่องโหว่ระดับ Critical จำนวน 6 ช่องโหว่ในผลิตภัณฑ์ ESXi, Workstation, Fusion และ NSX-T โดยจาก 6 ช่องโหว่นี้ มีช่องโหว่ที่น่าสนใจคือ

ช่องโหว่ CVE-2020-3992 (CVSSv3: 9.8/10) เป็นช่องโหว่ประเภท use-after-free ที่ส่งผลกระทบต่อบริการ OpenSLP ใน ESXi โดยช่องโหว่นี้จะสามารถอนุญาตให้ผู้โจมตีจากระยะไกลเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาต ทั้งนี้ผู้โจมตีที่จะสามารถใช้ประโยชน์ช่องโหว่นี้ได้ต้องอยู่ในเครือข่ายการจัดการและต้องสามารถเข้าถึงพอร์ต 427 บนเครื่อง ESXi ได้จึงจะสามารถช้ประโยชน์จากช่องโหว่ได้
ช่องโหว่ CVE-2020-3993 (CVSSv3: 7.5/10) เป็นช่องโหว่ที่เกิดจากการที่โฮสต์ KVM อนุญาตให้ดาวน์โหลดและติดตั้งแพ็กเกจจาก NSX manager ด้วยข้อบกพร่องนี้อาจทำให้ผู้โจมตีสามารถทำการ Man-in-the-middle attack (MitM) เพื่อโจมตี Transport Node
ช่องโหว่ CVE-2020-3994 (CVSSv3: 7.5/10) เป็นช่องโหว่ที่ทำให้สามารถ hijack เซสชัน vCenter Server ในฟังก์ชันของการอัปเดต
ทั้งนี้ผู้ดูแลระบบควรทำการอัปเดตเเพตซ์ให้เป็นเวอร์ชันล่าสุดเพื่อทำการเเก้ไขช่องโหว่และเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา : securityaffairs | vmware