注意！针对VMware ESXi 虚拟机的新型勒索软件“横空出世”
内容提要
趋势科技发现Play勒索软件的最新Linux版本变种，专门攻击VMware ESXi虚拟机，表明勒索组织在Linux平台上扩大攻击范围。Play勒索软件关闭虚拟机并加密文件，对企业造成重大业务中断。已入侵全球约300家组织。
延伸解读
ESXi 成为勒索软件新靶心的原因
文章指出，由于 ESXi 虚拟机的资源处理效率更高，企业纷纷将数据存储和关键应用托管在 ESXi 上，这导致大多数勒索软件组织将重点转向 ESXi 虚拟机。一旦 ESXi 被破坏，将导致重大业务运营中断，而加密文件和备份会大大减少受害者恢复数据的选择。这解释了为何 Play 勒索软件会专门开发针对 ESXi 的 Linux 变种。
Play 勒索软件的攻击流程与特征
根据趋势科技的分析，Play 勒索软件 Linux 样本启动后会扫描并关闭受攻击环境中所有虚拟机，然后加密虚拟机磁盘、配置和元数据文件，并在每个文件末尾添加 .PLAY 扩展名。该变种专门针对 VMFS 文件系统设计，还会在虚拟机根目录投放赎金条，显示在 ESXi 客户端登录门户和虚拟机重启后的控制台中。
Play 勒索软件的背景与影响范围
Play 勒索软件自 2022 年 6 月首次出现，以窃取敏感文件进行双重勒索而闻名。受害者包括云计算公司 Rackspace、加利福尼亚州奥克兰市、汽车零售巨头阿诺德-克拉克、比利时安特卫普市和达拉斯县。截至 2023 年 10 月，该团伙已入侵全球约 300 家组织。此次针对 ESXi 的变种表明其攻击范围进一步扩大。
防御建议与应对重点
美国联邦调查局、CISA 和澳大利亚网络安全中心建议防御者尽可能启用多因素身份验证，保持离线备份，实施恢复计划，并保持所有软件处于最新版本。鉴于 Play 勒索软件会关闭虚拟机并加密文件，企业应特别关注 ESXi 环境的安全配置和备份的离线保护，以降低业务中断风险。
Q&A
Play勒索软件针对哪些虚拟机环境进行攻击？
Play勒索软件专门攻击VMware ESXi虚拟机环境。
Play勒索软件的攻击机制是怎样的？
该勒索软件会关闭所有虚拟机并加密文件，文件末尾添加.PLAY扩展名。
Play勒索软件的受害者有哪些？
受害者包括云计算公司Rackspace、汽车零售巨头阿诺德-克拉克等。
Play勒索软件的出现时间是什么时候？
Play勒索软件首次出现于2022年6月。
如何防御Play勒索软件的攻击？
建议启用多因素身份验证，保持离线备份，实施恢复计划，并更新软件。
Play勒索软件对企业造成了什么影响？
一旦ESXi虚拟机被破坏，将导致重大业务运营中断，减少数据恢复选择。
