新型勒索软件Cheers正攻击VMware ESXi 服务器

admin 2022年5月26日17:45:16评论50 views字数 1373阅读4分34秒阅读模式

更多全球网络安全资讯尽在邑安全

据Bleeping Computer网站5月25日消息,一种名为“Cheers”的新型勒索软件出现在网络犯罪领域,目标是针对易受攻击的 VMware ESXi 服务器。

新型勒索软件Cheers正攻击VMware ESXi 服务器

VMware ESXi 是全球大型组织普遍使用的虚拟化平台,因此对其进行加密通常会严重破坏企业的运营。近期已有多个针对 VMware ESXi 平台的勒索软件组,包括 LockBit 和 Hive。而Cheers 勒索软件由趋势科技最新发现,并将新变种称为“Cheerscrypt”。

当Cheers攻击VMware ESXi 服务器时,会启动加密器,它会自动枚举正在运行的虚拟机并使用以下 esxcli 命令将其关闭:

esxcli vm process kill –type=force –world-id=$(esxcli vm process list|grep ‘World ID’|awk ‘{print $3}’)

加密文件时,Cheers会专门寻找具有 .log、.vmdk、.vmem、.vswp 和 .vmsn 扩展名的文件。这些文件扩展名与 ESXi 快照、日志文件、交换文件、页面文件和虚拟磁盘相关联。每个加密文件都会在其文件名后附加“ .Cheers ”扩展名,但文件重命名发生在加密之前,所以如果重命名文件的访问权限被拒绝,加密会失败,但文件仍然会被重命名。

加密方案使用一对公钥和私钥来派生一个秘密(SOSEMANUK 流密码)密钥并将其嵌入每个加密文件中。用于生成密钥的私钥被擦除以防止恢复。

新型勒索软件Cheers正攻击VMware ESXi 服务器Cheers 加密例程

在扫描文件夹以查找要加密的文件时,勒索软件将在每个文件夹中创建名为“ How To Restore Your Files.txt ”的勒索记录这些赎金记录包括有关受害者被加密文件情况的信息、Tor 数据泄露站点和赎金缴纳站点的链接。每个受害者都有一个唯一的 Tor 站点,但数据泄露站点 Onion URL 是静态的。

根据 Bleeping Computer 的研究,Cheers似乎于 2022 年 3 月开始运作,虽然迄今为止只发现了 Linux 勒索软件版本,但不排除也存在针对Windows系统的变体。

Bleeping Computer 发现了 Cheers的数据泄露和受害者勒索 Onion 网站,该网站目前仅列出了四名受害者。但该门户的存在表明 Cheers 在攻击期间执行数据泄露,并将被盗数据用于双重勒索攻击。

新型勒索软件Cheers正攻击VMware ESXi 服务器Cheer 的数据泄露 Onion 网站

通过观察,这些受害者都是比较大型的企业组织,似乎目前的新型勒索软件组织更青睐于这些“大目标”以满足勒索需求。

根据调查赎金记录,攻击者给受害者三天的时间来登录提供的 Tor 站点以协商赎金支付,从而换取有效的解密密钥。如果受害者不支付赎金,攻击者表示他们会将被盗数据出售给其他同行,给受害者带来更大威胁和损失。

原文来自: freebuf.com

原文链接: https://www.freebuf.com/articles/334318.html

欢迎收藏并分享朋友圈,让五邑人网络更安全

新型勒索软件Cheers正攻击VMware ESXi 服务器

欢迎扫描关注我们,及时了解最新安全动态、学习最潮流的安全姿势!


推荐文章

1

新永恒之蓝?微软SMBv3高危漏洞(CVE-2020-0796)分析复现

2

重大漏洞预警:ubuntu最新版本存在本地提权漏洞(已有EXP) 



原文始发于微信公众号(邑安全):新型勒索软件Cheers正攻击VMware ESXi 服务器

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月26日17:45:16
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   新型勒索软件Cheers正攻击VMware ESXi 服务器http://cn-sec.com/archives/1053137.html

发表评论

匿名网友 填写信息