VMware virtuelle maskiner under angreb fra Kina-tilknyttede hackere

VMware virtuelle maskiner er blevet det nyeste mål for en Kina-tilknyttet spionagegruppe. Hackerne udnytter sårbarheder i VMware-hypervisorer og administrationssystemer, hvilket gør det muligt at omgå forsvar og få adgang til gæstemaskiner. Som følge heraf står organisationer, der er afhængige af virtualisering, nu over for øget risiko for skjulte angreb.

Angrebsmetoder

Forskere afslørede, at angriberne først udnyttede sårbarheder i VMware vCenter for at få adgang. Derfra høstede de legitimationsoplysninger til servicekonti, som gav adgang til ESXi-værter. Derefter etablerede de vedvarende adgang ved at installere bagdøre på både værter og administrationsservere.

Derudover brugte hackerne host-to-guest kommandoinjektion til at køre instruktioner inde i virtuelle maskiner uden brugeroplysninger. De udnyttede også sårbarheder i VMware Tools til at udtrække filer direkte fra gæstesystemerne. Fordi disse teknikker fungerer under operativsystemniveauet, mislykkedes traditionelle sikkerhedsværktøjer ofte i at opdage dem.

Risici og konsekvenser

Angrebene giver modstanderne kontrol over både infrastrukturen og de virtuelle maskiner. Dermed kan følsomme data opsnappes, ændres eller udtrækkes uden at udløse alarmer. Da hypervisor-sårbarheder omgår endpoint-forsvar, kan organisationer være uvidende om, at deres systemer allerede er kompromitteret.

Disse kampagner underminerer desuden tilliden til virtualiseringsplatforme. Virksomheder er stærkt afhængige af VMware-teknologi til kritiske arbejdsbelastninger, og vedvarende udnyttelse kan skade tilliden til sikre virtuelle miljøer.

Forsvarsstrategier

For at reducere risikoen skal organisationer hurtigt implementere VMware-opdateringer, især for nyligt opdagede kritiske sårbarheder. Overvågningen bør strække sig ud over gæstesystemerne og inkludere hypervisorer og administrationslag. Loganalyse, anomali-detektion og integritetskontroller af hypervisorer er derfor afgørende.

Derudover kan isolering af hypervisorer gennem netværkssegmentering begrænse angribernes bevægelsesfrihed. Stærk håndtering af legitimationsoplysninger, især for servicekonti, mindsker også eksponeringen. Endelig er det vigtigt at antage, at brud kan ske, og have beredskabsplaner for hændelseshåndtering for at styrke modstandsdygtigheden.

Konklusion

Angrebet på VMware virtuelle maskiner fremhæver den stigende sofistikation hos statsstøttede spionagegrupper. Ved at udnytte hypervisor-sårbarheder får modstandere dyb og skjult adgang til virtualiserede miljøer. Hvis organisationer ikke forbedrer overvågningen, opdaterer hurtigt og styrker infrastrukturen, vil disse kraftfulde svagheder fortsat blive udnyttet.