In Before The Lock : ESXi

編集者注:これは完全なレポートの抜粋です。 文末脚注付きの分析全体を読むには、 ここをクリックして レポートをPDFとしてダウンロードしてください。

Executive Summary

組織が重要なインフラストラクチャとビジネスシステムの仮想化を続けるにつれて、ランサムウェアを展開する脅威アクターは同様の対応をしています。 2021年から2022年にかけて、 ESXiを標的とするランサムウェアが約3倍に増加し、ALPHV、LockBit、BlackBastaなどの多くのグループから提供されていることが確認されました。 ランサムウェアのペイロードがドロップされる前によく見られる複数のTTPの検出戦略を特定して説明し、これらのツールを実際に使用する脅威アクターに基づく検出と緩和策を作成しました。 YARAルールやSigmaルールなどのツール固有の検出機能に加えて、一般的な列挙、エクスプロイト、永続化の手法の検出も特定しました。 提供される検出と軽減策は、以下で評価するツールだけでなく、このレポートの範囲外のカスタム (脅威アクター固有の) ツールにも使用できます。 ESXi システムに対するランサムウェア以前の脅威ハンティング、検出、および軽減を検討している組織は、提供されている検出を出発点として、環境に固有の検出を開発し、階層化されたセキュリティ アプローチの一部として使用する必要があります。 現在ESXiで利用可能なEDR(Endpoint Detection and Response)やアンチウイルスソフトウェア(AV)などの防御製品はまだ普及しておらず、組織の仮想化への依存度も高まっているため、脅威アクターにとって魅力的な標的となり、運用上のダウンタイムや組織の風評被害につながる可能性があります。

Key Takeaways

• ESXi を標的とするランサムウェアは、今後も組織にとって脅威であり続け、運用上のダウンタイム、競争上の不利益、ブランドへのダメージのリスクにさらされます。
• 組織は仮想化されたインフラストラクチャを引き続き展開する必要がありますが、セキュリティのベスト プラクティスと、既存のインフラストラクチャで使用されているのと同様の予防措置を実装することが重要です。
• ESXiを標的とする悪意のあるツールは、主にネイティブコマンドを悪用してアクションを実行するため、通常のシステム管理者のアクティビティと区別することが困難になります。
• 公開されているツールやデバイス検索エンジンは、カスタムツールに加えて、ESXiを標的とする脅威アクターによって引き続き使用されます。
• ESXiを対象とするアンチウイルスおよびEDRソリューションの未熟さは、セキュリティ対策の実装の難しさと相まって、Windowsを標的とするものと比較して、ESXiにマルウェアを展開する脅威アクターの技術的な障壁を低くします。
• 初期アクセスの脆弱性を悪用することは一般的な戦術です。ただし、多くの脅威アクターは、システム管理者のメモ、保存されたパスワード、または特定の従業員のキーロギングに依存して、vSphere環境にアクセスします。
• ハイパーバイザーの複雑な性質のために、防御的な慣行を実装することは困難です。ただし、ホスト構成証明を提供し、攻撃対象領域を減らし、ネットワーク上の他のシステムへのアクセスを最小限に抑えるユーティリティを実装すると、組織のリスクを大幅に軽減できます。

背景

ランサムウェアグループは、ツールセットの進化と拡大を続けており、より専門的なターゲットに焦点を当て、収益を得る機会に基づいてより洗練されたツールを作成しています。 VMware ESXi は、仮想インフラストラクチャの導入と提供のために設計された、市場をリードするエンタープライズ グレードのハイパーバイザーです。 ESXiを標的とするランサムウェアは、サーバーインフラストラクチャの大部分を仮想化する方向にシフトしている組織に脅威を与え続けます。 仮想化インフラストラクチャを保護する方法は、テクノロジーの独自の性質と、仮想化用に設計された防御製品が比較的初期段階にあるため、複雑です。 これらの要因の結果として、ESXi は金銭的な動機を持つ脅威アクターにとって非常に魅力的なターゲットとなります。

2020年には、パンデミックによって初期アクセスが利用可能になったことと、複数の重大な脆弱性(CVE-2018-13379、CVE-2019-11510、CVE-2019-19781など)により、脅威アクターが主にWindowsベースのネットワークを標的にしていたため、ESXiランサムウェア攻撃に関する言及はほとんどありませんでした。 組織がランサムウェアに対するより効果的な防御で対応し、脅威アクターが仮想化ネットワークの防御ギャップを認識するにつれて、脅威アクターはESXi固有のランサムウェアと手法を作成し始めました。 2021年には、ESXiランサムウェアが関与するサイバー攻撃が増加しました。 2022年には、以下の図1に示すように、より多くのランサムウェアグループによるランサムウェア攻撃と、仮想化インフラストラクチャを標的とした高度なTTPとツールが前年比で3倍に増加していることが確認されました。

図 1: ESXi を標的としたランサムウェア攻撃は 1 年間で 3 倍に増加 (出典: Recorded Future)

編集者注:これは完全なレポートの抜粋です。 文末脚注付きの分析全体を読むには、 ここをクリックして レポートをPDFとしてダウンロードしてください。