Kaspersky onderzoekt ransomware-incidenten in ESXi en Proxmox door zwakke toegang, hergebruikte root-wachtwoorden en onvoldoende netwerksegmentatie.
Incidenten in virtuele omgevingen kunnen ontstaan door softwarekwetsbaarheden, menselijke fouten of configuratiefouten, vaak in combinatie. De impact beperkt zich zelden tot alleen de workload; hypervisors, container runtimes, management consoles, monitoringplatforms, identiteitsystemen, virtuele netwerken, opslag en back-ups spelen allemaal een rol in wat een aanvaller kan bereiken.
Kaspersky GERT onderzocht recent twee ransomware-gevallen in ESXi- en Proxmox-omgevingen waarbij zwakke toegangscontrole, onvoldoende netwerksegmentatie, blootgestelde administratieve diensten en slecht beheer van geprivilegieerde credentials de schade vergrootten. Een monitoringplatform met toegang tot de virtualisatielaag had een herbruikbaar root-wachtwoord blootgelegd. Zodra de aanvaller deze route beheerste, was gewone administratieve toegang voldoende om meerdere hosts te compromitteren, zonder dat een VM escape nodig was. Deze incidenten benadrukken het belang van zowel patchbeheer als veilige configuratie. Een volledig gepatchte hypervisor kan alsnog worden aangevallen via gedeelde wachtwoorden, overbevoegde monitoringaccounts, open SSH-toegang of een beheerinterface die bereikbaar is vanuit het algemene servernetwerk. NIST-richtlijnen adviseren daarom om veilige configuratie, beperkte administratieve toegang, actuele patches en monitoring over alle lagen heen te combineren.
Een virtuele bedrijfsomgeving bestaat uit een verbonden stack van hypervisors, container engines, management consoles, orkestratietools, monitoringplatforms en automatiseringsaccounts. Registries, image stores, virtuele switches, opslag en back-ups verbinden de lagen. De grenzen gaan verder dan gast naar host en omvatten onder meer workload naar managementlaag, monitoring naar hypervisor, registry naar deployment en beheerwerkstation naar console. Een aanvaller heeft slechts één bruikbare route nodig, vaak via een gestolen of onveilig opgeslagen beheerderscredential in plaats van een complexe exploit. In het onderzochte geval verliep de compromittering via het monitoringplatform met een geldig credential voor de virtualisatieomgeving.
In het eerste geval leidde het onderzoek naar BlackNevas ransomware-activiteit op een Windows-systeem binnen een virtuele domeincontrollersegment. Artefacten toonden het gebruik van AnyDesk RMM en GMER-binaries. De omgeving gebruikte PRTG Network Monitor voor het monitoren van de virtuele infrastructuur. Uit de analyse bleek dat PRTG brede toegang had tot ESXi-hosts en dat hetzelfde root-wachtwoord op meerdere nodes werd hergebruikt. Hiermee verkreeg de aanvaller toegang tot meerdere systemen, wat de impact van de aanval aanzienlijk vergrootte.
