黑客利用 VMware ESXi 漏洞进行勒索软件攻击
内容提要
网络安全公司Sygnia的报告指出，针对VMware ESXi基础架构的勒索软件攻击遵循一种既定模式。建议企业加强监控和日志记录，创建强大的备份机制，执行强有力的身份验证措施，加固环境，并实施网络限制以防止横向移动。网络安全公司Rapid7警告称，恶意广告被用于分发勒索软件的安装程序。勒索软件攻击的目标包括俄罗斯公司，攻击者要求支付高额赎金。全球勒索软件攻击数量在2024年4月下降了15%。
延伸解读
虚拟化平台成勒索软件攻击重点
文章指出，VMware ESXi等虚拟化平台是组织IT基础设施的核心，但常存在错误配置和漏洞，使其成为勒索软件攻击的高效目标。Sygnia通过分析多个勒索软件家族的事件响应发现，攻击者通常利用网络钓鱼、恶意下载或已知漏洞获取初始访问权限，随后提升权限、部署勒索软件、删除备份、渗出数据并加密文件系统。这表明虚拟化环境的安全防护亟需加强，企业应重视监控、备份、身份验证和网络限制。
恶意广告分发勒索软件，IT团队成主要目标
Rapid7警告称，自2024年3月起，攻击者利用搜索引擎恶意广告，通过错别字域名分发WinSCP和PuTTY的木马安装程序，最终安装勒索软件。这些伪装安装程序投放Sliver工具包，进而部署Cobalt Strike Beacon和勒索软件。该活动与BlackCat攻击战术相似，主要影响寻找合法软件的IT团队成员。这提醒企业，员工在下载常用工具时需警惕恶意广告，应通过官方渠道获取软件。
勒索软件生态变化：LockBit衰落，Play崛起
NCC集团数据显示，2024年4月全球勒索软件攻击数量环比下降15%，从421起降至356起。LockBit结束了长达8个月的统治，攻击次数不到3月的一半，这与其今年早些时候遭执法打击有关。Play成为最活跃的威胁组织，Hunters紧随其后。同时，新勒索软件家族如MorLock针对俄罗斯公司，要求数千万至数亿卢布赎金。这些变化表明勒索软件格局动态调整，企业需关注新兴威胁。
hVNC和远程访问服务降低攻击门槛
文章提到，网络犯罪分子正在推广隐藏的虚拟网络计算（hVNC）和远程访问服务，如Pandora和TMChecker，用于数据外渗、部署恶意软件和促进勒索软件攻击。Resecurity指出，多个初始访问代理和勒索软件操作员使用TMChecker检查受损数据，以确定企业VPN和电子邮件账户的有效凭证。TMChecker的崛起降低了威胁行为者获取高影响力企业访问权限的进入成本，这些访问权限还可出售给其他对手，进一步加剧了安全风险。
Q&A
VMware ESXi漏洞如何被黑客利用进行勒索软件攻击？
黑客通过网络钓鱼、恶意文件下载和利用已知漏洞获取初始访问权限，随后提升权限并部署勒索软件。
企业应该如何防范针对VMware ESXi的勒索软件攻击？
企业应加强监控和日志记录，创建强大的备份机制，执行强有力的身份验证措施，加固环境，并实施网络限制。
MorLock家族的勒索软件攻击主要针对哪些目标？
MorLock家族主要针对俄罗斯公司，要求支付高额赎金，赎金可达数千万或数亿卢布。
2024年4月全球勒索软件攻击的趋势如何？
2024年4月全球勒索软件攻击数量下降了15%，LockBit的攻击次数减少，Play成为最活跃的威胁组织。
恶意广告在勒索软件攻击中扮演什么角色？
恶意广告被用于分发勒索软件的安装程序，影响IT团队成员，可能导致他们下载木马文件。
网络犯罪分子如何降低进入企业的成本？
网络犯罪分子利用hVNC和远程访问服务，降低了获取企业访问权限的成本，便于进行数据外渗和勒索软件攻击。
