按 Enter 到主內容區
:::

TWCERT-電子報

:::

新發現的 Python 惡意軟體,會在 VMware ESXi 伺服器開啟遠端遙控後門

發布日期:
字型大小:
  • 發布單位:TWCERT/CC
  • 更新日期:2022-12-15
  • 點閱次數:302
新發現的 Python 惡意軟體,會在 VMware ESXi 伺服器開啟遠端遙控後門 TWCERT/CC

網通大廠 Juniper Networks 旗下的資安研究人員,日前發現一個過去未曾發現的 Python 後門,專門攻擊VMware ESXi 伺服器,駭侵者能藉以在遭駭侵系統上遠端執行。

VMware ESXi 是一種廣受企業使用的虛擬化平台,可以高效率地運用主機的 CPU 與記憶體資源,同時執行多個伺服器。

Juniper Networks 發現的新後門,很可能是利用兩個十分老舊,存於 VMware ESXi OpenSLP 的漏洞 CVE-2019-5544 與 CVE-2020-3992 來發動攻擊;駭侵者在 /etc/ec.local.d/local.sh 這個指令檔中加上 7 行 Python 指令,啟動一個 web server,以接受來自駭侵者的密碼保護 POST 要求;這些要求可以攜帶以 base-64 編碼的惡意軟體酬載,或是在主機上啟用一個 reverse shell 連上駭侵者的控制伺服器。這種手法可以避免防火牆的阻擋。

Juniper 的資安研究人員,在實際攻擊案例中觀察到駭侵者利用此方式,更改 ESXi 的反向 http proxy 設定,使其可以遠端控制該主機,並發動進一步的駭侵攻擊。

Juniper 提供的暫時處理方案指出,VWware ESXi 伺服器的管理者,應立即檢查伺服器的 /etc/ec.local.d/local.sh 檔案中,是否多出報告中列出的 7 行惡意 Python 程式碼,如發現異常,應徹底檢查主機是否有可疑的設定變更。此外,也應設定 ESXi 主機僅能透過可信賴的主機進行連線。

回頁首