多種惡意軟體發起 VMware 漏洞利用攻擊

今年 4 月，VMware 公佈並修補了編號為 CVE-2022-22954 的遠端代碼執行漏洞。因為缺乏對參數 “deviceUdid” 和 “devicetype” 進行有效的清理，該漏洞引入了伺服器端模版的注入攻擊 (server-side template injection, SSTI) 的可能性。它允許攻擊者注入負載 (Payload)，並能夠在 VMware Workspace ONE Access 和 Identity Manager 元件上進行遠端代碼執行。FortiGuard Labs 發佈了有關 CVE-2022-22954 漏洞的威脅報告，並在 4 月份針對該漏洞發佈了 IPS 特徵碼。

4 月以來，Fortinet 陸續觀察到針對此的在野攻擊事件，但大多數負載均限於窺探受害者的密碼、hosts檔等敏感性資料。然而到8月間，一些特定的負載引起了Fortinet研究人員的警覺。試圖植入Mira，企圖攻擊運行Linux系統的潛在目標網路設備、RAR1ransom勒索軟體，利用合法的WinRaR加密使用者資料，並使用xmrig挖礦軟體變種GuardMiner挖礦木馬對門羅幣錢包進行挖礦行為。

本文將為您全面盤點惡意軟體如何利用 VMware 漏洞以及漏洞利用後續行為，避免您的資產收到損害。

受影響平台： VMware Workspace ONE Access 和 Identity Manager

受影響群體：VMware 用戶

影響範圍：攻擊者利用此漏洞發送含有惡意命令的資訊，發起命令注入攻擊

嚴重等級：高風險

Mirai變種

Mirai 變種的完整負載如圖 2 所示，該字串將打開臨時目錄並從http[:]//107[.]189[.]8[.]21/pedalcheta/cutie[.]x86_64連結下載 Mirai 變種，之後使用參數“VMware”執行惡意命令。

如同多數Mirai僵屍網路一樣，該變種的主要手段包括發起DoS拒絕服務和暴力破解攻擊。我們利用0x54對資料進行XOR處理後，解碼了部分配置並發現C2伺服器名稱為“cnc[.]goodpackets[.]cc”。以下為解碼後的字串：

我們還使用經編碼的帳戶和密碼字串識別出暴力破解函數：

下表列出經Fortinet研究人員解碼後的部分密碼，其中除了常見密碼外，不乏一些知名物聯網設備的預設帳號：

hikvision	1234	win1dows	S2fGqNFs
root	tsgoingon	newsheen	12345
default	solokey	neworange88888888	guest
bin	user	neworang	system
059AnkJ	telnetadmin	tlJwpbo6	iwkb
141388	123456	20150602	00000000
adaptec	20080826	vstarcam2015	v2mprt
Administrator	1001chin	vhd1206	support
NULL	xc3511	QwestM0dem	7ujMko0admin
bbsd-client	vizxv	fidel123	dvr2580222
par0t	hg2x0	samsung	t0talc0ntr0l4!
cablecom	hunt5759	epicrouter	zlxx
pointofsale	nflection	admin@mimifi	xmhdipc
icatch99	password	daemon	netopia
3com	DOCSIS_APP	hagpolm1	klv123
OxhlwSG8

該Mirai變種執行命令後，將顯示硬編碼字串“InfectedNight did its job”，同時發送參數為“VMware”的心跳資訊至C2伺服器，隨後等待來自C2伺服器的下一步命令。下圖顯示Fortinet捕獲的心跳流量資訊和暴力攻擊會談流量資訊。

RAR1Ransom 和 GuardMiner初始化腳本

另一個值得關注的負載來自字串67[.]205[.]145[.]142。該負載包含兩個會談，每個會談所涉及的指令隨受害者使用的作業系統而異。其中一個針對Windows系統的指令利用 PowerShell 下載指令檔“init.ps1”，另一個針對Linux系統的指令則利用python 函式程式庫中的curl、wget和urlopen指令下載指令檔“init.sh”。

在PowerShell 指令檔“init.ps1”中，包含了一些指向 cloudflare-ipfs[.]com的連結，以用於下一步攻擊，每個檔都有連接至crustwebsites[.]net. 的特定備份連結。

用於初始化的7 個檔案：

• phpupdate.exe：Xmrig門羅幣挖礦軟體
• config.json：挖礦池設定檔
• networkmanager.exe：用於掃描和傳播感染的可執行檔
• phpguard.exe：用於保護Xmrig挖礦軟體持續運行的可執行檔
• init.ps1：建立排程工作以實現持續性攻擊的指令檔
• clean.bat：用於刪除受感染主機中其他加密挖礦軟體的指令檔
• encrypt.exe：RAR1 勒索軟體

如圖 11 所示，在“start encrypt”指令段落中，攻擊者在啟動 RAR1ransom 前，會預先檢查“flag_encrypt.flag”，如果檢測到 flag 檔存在並且之前已下載“encrypt.exe”，則刪除“encrypt.exe”，而後進入下一攻擊階段。否則，該指令將檢查檔大小以確定是否更新檔案路徑。檢查結束後即執行勒索軟體攻擊。RAR1勒索軟體的詳細資訊將在下一節中詳細說明。

隨後，腳本開始啟動GuardMiner攻擊。GuardMiner是一款跨平臺挖礦木馬程式，自2020年以來一直處於活躍狀態。FortiGuard Labs已發佈有關該挖礦木馬的詳細報告。在此版中，GuardMiner同樣會下載指令檔“init.sh”到Linux系統。

我們還注意到，GuardMiner 利用近期曝出的漏洞更新了“networkmanager.exe”。通過觀察每個漏洞利用模組名稱，我們發現出於安全測試目的，GuardMiner可能會從做為安全測試之用的Chaitin Tech Github收集漏洞利用列表。

以下為Fortinet獲取的完整漏洞列表：

eyou-email-system-rce	maccms-rce
thinkphp5-controller-rce	seacms-rce
terramaster-tos-rce-cve-2020-28188	spon-ip-intercom-ping-rce
thinkphp5023-method-rce	yonyou-grp-u8-sqli-to-rce
yccms-rce	gitlist-rce-cve-2018-1000533
phpunit-cve-2017-9841-rce	pandorafms-cve-2019-20224-rce
yonyou-nc-bsh-servlet-bshservlet-rce	CVE-2022-22947-spring-clond-Gateway-RCE
CVE-2022-22954-VMware-RCE	amtt-hiboss-server-ping-rce
inspur-tscev4-cve-2020-21224-rce	dlink-dsl-2888a-rce
phpstudy-backdoor-rce	Confluence-CVE-2022-26134
seacms-before-v992-rce	apache-flink-upload-rce
dedecms-cve-2018-7700-rce	solr-velocity-template-rce
webmin-cve-2019-15107-rce	jumpserver-unauth-rce
Hotel-Internet-Manage-RCE	drupal-cve-2018-7600-rce
seacms-v654-rce	S2-045-rce
tamronos-iptv-rce	ecshop-rce
satellian-cve-2020-7980-rce	opentsdb-cve-2020-35476-rce
zeroshell-cve-2019-12725-rce	struts2-062-cve-2021-31805-rce
dlink-cve-2019-16920-rce	h3c-imc-rce