🧠 Skills: Aurora шифрует ESXi. AI на разведке, но цель сдаёт обычный LDAP-запрос

Коллеги, разбор свежей тактики вымогателей, который напрямую касается каждого, кто держит виртуализацию — будь то VMware ESXi, vCenter или Proxmox.

📌 ФАКТЫ (по свежему отчёту Gambit Security)
Кампания Aurora Ransomware: две волны атак в 2026 году на бизнес в Европе, США и Израиле.

AI в роли Co-pilot злоумышленника: оператор использовал Cursor Agent (на базе Claude Sonnet) для автоматизации рутины — генерации конфигов proxychains/VPN, парсинга выдачи Nmap и NetExec, разведки Active Directory, NTLM relay и атак на AD CS.

Операционная дисциплина: атакующий осознанно выставил агенту жесткие рамки — никаких DCSync, без локаута аккаунтов, без регистрации новых машин в домене. Задача — нулевой шум в SIEM.

Как находили виртуализацию: самописный модуль NetExec (esxi_finder.py) вытягивал список хостов через стандартные LDAP-запросы, опрашивал порты 443 и 902, а затем по TLS-сертификату однозначно детектировал гипервизоры и vCenter.

Удар: Linux-бинарник шифровальщика с флагом -esxi тушит виртуальные машины через штатный esxcli и зашифровывает диски (ChaCha20 + RSA-4096).

💡 В ЧЁМ СУТЬ

ИИ здесь не взламывает квантовым алгоритмом — он просто снимает рутину и ускоряет рекогносцировку. Архитектурная дыра ровно та же, что и 5 лет назад: гипервизоры видны из пользовательского сегмента или привязаны к общему AD. Если порт виден наружу, его найдут и без нейросетей.

🛠 АУДИТ БЕЗОПАСНОСТИ
1. Проверяем хост ESXi (по SSH):

Bash

# Проверить, активен ли Lockdown Mode
vim-cmd -U dcui vimsvc/auth/lockdown_is_enabled

# Ограничение белых списков IP для SSH и веб-морды
esxcli network firewall ruleset allowedip list --ruleset-id sshServer
esxcli network firewall ruleset allowedip list --ruleset-id webAccess

# Блокировка запуска неподписанных бинарников (дропает чужой шифровальщик)
esxcli system settings encryption get

# Ревизия локальных учетных записей
esxcli system account list

2. Сканируем из пользовательского сегмента (быстрый smoke-тест):

Bash

nmap -Pn -p 443,902,8006 <подсеть_гипервизоров>
# Порты должны быть отфильтрованы в глухую! (8006 — для Proxmox VE)

🛡 БАЗОВЫЙ ЧЕКЛИСТ ЗАЩИТЫ ГИПЕРВИЗОРОВ
Изолированный Out-of-Band / Management VLAN: интерфейсы управления ESXi, vCenter и Proxmox VE не должны маршрутизироваться в клиентские подсети. Доступ — строго через выделенный Jump-хост с MFA.

Никакого прямого членства в Active Directory: гипервизорам не место в корпоративном домене. Если ESXi все еще там — срочно проверяйте группу ESX Admins и закрывайте дыру CVE-2024-37085.

Харденинг хостов: флаг execInstalledOnly включен, SSH заглушен на уровне службы и поднимается только под регламентные работы.

Неизменяемые (Immutable) бэкапы: резервные копии должны лежать в изолированном пуле (WORM/S3 Object Lock/air-gapped), к которому нет и не может быть доступа с доменными учетками.

Гипервизор — самая дорогая и желанная точка отказа в инфраструктуре. Одна команда — и ложится всё предприятие разом. Проектируйте доступ к нему так, словно злоумышленник уже захватил доменную рабочую станцию.

#skills #esxi #vmware #proxmox #ransomware #virtualization #sysadmin #admin_future

🙈 Уязвимость «низкой» критичности в ESXi использовали как zero-day. Её задача — чтобы логи ничего не видели

Коллеги, есть CVE, мимо которых обычно проходят со словами «Low, проблемы с логами, когда-нибудь потом». Китайская APT-группировка рассудила иначе.

📌 ФАКТЫ
CVE-2026-41709 — недостаточное логирование критических событий в гипервизоре VMware ESXi (баг позволял совершать привилегированные действия в обход стандартных журналов аудита)

Группировка Warp Panda (китайский кибершпионаж по классификации CrowdStrike) эксплуатировала этот дефект как zero-day в начале 2026 года для скрытного закрепления в инфраструктуре

Типовая цепочка атаки: пробив внешнего периметра → закрепление на сервере vCenter → деплой кастомных ESXi-бэкдоров (BRICKSTORM, SharpStorm) → кража облачных токенов сессий и регистрация своих MFA-устройств в корпоративном тенанте M365

Broadcom выпустила патч в июле 2026 года. 28 октября уязвимость официально внесена в каталог эксплуатируемых угроз CISA KEV со строгим дедлайном устранения для госсектора до 11 ноября

🛠 ВЫВОДИМ ЛОГИ ESXi НА ВНЕШНИЙ СЕРВЕР
Хранить аудит только локально в /var/log на самом хосте виртуализации — подарок злоумышленнику. Настраиваем отправку в SIEM/Syslog:

Bash

# 1. Проверяем текущую версию гипервизора и билд
vmware -vl

# 2. Смотрим текущий таргет syslog
esxcli system syslog config get

# 3. Направляем поток событий на удалённый коллектор/SIEM
esxcli system syslog config set --loghost='tcp://siem.local:514'
esxcli system syslog reload

# 4. Открываем системный порт для syslog во встроенном файрволе ESXi
esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true

😅 ЖИЗНЕННОЕ
Атакующий на скомпрометированном хосте ESXi ведёт себя точь-в-точь как кот, стащивший со стола сосиску: первым делом заметает следы и прикрывает миску лапой. Если журналы не улетают на внешний сервер в момент записи, то при разборе инцидента в локальных логах останутся только «перезагрузка демона» и звенящая пустота.

💡 В ЧЁМ СУТЬ

Рейтинг Low по шкале CVSS отражает лишь сложность или изолированный импакт уязвимости, но не её ценность в реальной цепочке компрометации (Kill Chain). Для APT-группы баг, ослепляющий SOC и стирающий таймлайны, стоит десятка шумных эксплойтов.

Все события гипервизоров должны стримиться во внешнюю неизменяемую SIEM в режиме реального времени, а июльские патчи Broadcom пора окончательно докатить до всех продакшен-кластеров.

#vmware #esxi #logging #siem #apt #юмор #sysadmin #admin_future