https://twcert2024.informationsecurity.com.tw/

新聞

已有兩年!中國駭客低調武器化 VMware 零日漏洞

2024 / 01 / 22
編輯部
已有兩年!中國駭客低調武器化 VMware 零日漏洞
Google Mandiant近日示警與中國相關的高級網路間諜組織UNC3886利用 VMware 和 Fortinet 設備中的安全漏洞進行攻擊。UNC3886自 2021 年底以來持續濫用 VMware vCenter Server 中的關鍵漏洞作為零日漏洞。
 
Google Mandiant在近日的一份報告中表示,UNC3886 擁有利用零日漏洞在不被發現的情況下完成任務的記錄,而CVE-2023-34048這個最新的例子進一步證明了UNC3886的能力。
 
CVE-2023-34048漏洞(CVSS 評分:9.8),是一種越界寫入,可以被具有 vCenter Server 網路存取權限的惡意攻擊者利用來實現遠端程式碼執行。VMware於 2023 年 10 月 24 日修復了這個問題。
 
VMware於稍早更新了其公告,承認CVE-2023-34048 的利用已經在野外發生。
 
UNC3886於 2022 年 9 月首次曝光,當時發現它利用 VMware 中以前未知的安全漏洞對 Windows 和 Linux 系統部署後門,如 VIRTUALPITA 和 VIRTUALPIE 等惡意軟體系列,使攻擊者能夠直接連接到主機。。
 
Mandiant 的最新調查結果顯示, CVE-2023-34048使UNC3886能夠獲得對 vCenter 系統的特權存取權限,以及所有ESXi 主機及與主機相連的虛擬機器。
 
Mandiant 曾在 2023 年 6 月所揭露的那樣,CVE-2023-34048 最終為利用另一個VMware 漏洞 CVE-2023-20867(CVSS 評分:3.9)鋪路以執行任意命令並從受感染的ESXi 主機與相連的虛擬機之間傳輸檔案。
 
建議 VMware vCenter Server 使用者更新至最新版本以減輕任何潛在威脅。
 
近年來,UNC3886也利用CVE-2022-41328(CVSS評分:6.5)(Fortinet FortiOS軟體中的路徑遍歷缺陷)部署THINCRUST和CASTLETAP植入程序,以執行從遠端伺服器接收的任意命令並洩露敏感資料。

這些攻擊手法專門針對防火牆和虛擬化技術,因為它們缺乏對端點偵測和回應 (EDR) 解決方案的防禦,無法在目標環境中長期存在。

根据Shadowserver Foundation 的数据,目前有数百个暴露于公開網路的 VMware vCenter Server可能存在漏洞。VMware 產品成為惡意攻擊者攻擊目標的情況很常見,美國安全機構 CISA的已知被利用漏洞目錄目前包括 21 個VMware 產品漏洞。

相關文章:五眼聯盟公布 2022 年遭駭最嚴重 12 個漏洞

本文轉載自TheHackerNews。