Агентство национальной безопасности (АНБ) предупреждает, что спонсируемые государством российские злоумышленники используют недавно исправленную уязвимость VMware для кражи конфиденциальной информации после развертывания веб-шеллов на уязвимых серверах

«АНБ призывает администраторов сети Национальной системы безопасности (NSS), Министерства обороны (DoD) и оборонной промышленной базы (DIB) уделять первоочередное внимание устранению уязвимости на затронутых серверах», — заявили в разведывательном агентстве Министерства обороны США

На просьбу предоставить дополнительную информацию о целях, скомпрометированных в этих атаках, АНБ заявило BleepingComputer, что «не раскрывает подробностей о жертвах злонамеренной киберактивности из-за рубежа».

«Любая организация, использующая затронутые продукты, должна незамедлительно применить исправление, выпущенное поставщиком», — призвало АНБ

АНБ также воздержалось от предоставления дополнительной информации о дате начала этих атак, заявив, что «[мы] не предоставляем конкретных сведений об источнике какой-либо конкретной информации, чтобы мы могли продолжать выполнять нашу жизненно важную роль для страны, включая развитие и обмен техническими рекомендациями, подобными этому отчету «.

Доступны обновления безопасности и обходные пути

VMware выпустила обновления безопасности для устранения ошибки безопасности 3 декабря после публичного раскрытия уязвимости две недели назад и предоставления временного обходного пути, который полностью удаляет вектор атаки и предотвращает эксплуатацию

CVE-2020-4006 изначально была оценена как уязвимость с критической степенью серьезности, но VMware снизила ее максимальную степень серьезности до «Важно» после выпуска исправления и совместного использования этой уязвимости, требующей «действительного пароля для учетной записи администратора конфигуратора».

«Эта учетная запись является внутренней для затронутых продуктов, и пароль устанавливается во время развертывания. Злоумышленник должен обладать этим паролем, чтобы попытаться использовать CVE-2020-4006», — поясняет VMware

Полный список версий продуктов VMware, на которые распространяется действие нулевого дня, включает:

• VMware Workspace One Access 20.01, 20.10 (Linux)
• VMware Identity Manager (vIDM) от 3.3.1 до 3.3.3 (Linux)
• Коннектор VMware Identity Manager (коннектор vIDM) 3.3.1, 3.3.2 (Linux)
• Коннектор VMware Identity Manager (коннектор vIDM) 3.3.1, 3.3.2, 3.3.3 / 19.03.0.0, 19.03.0.1 (Windows)
• VMware Cloud Foundation 6 4.x
• VMware vRealize Suite Lifecycle Manager 7 8.x

Администраторы, которые не могут немедленно развернуть исправление, могут использовать временный обходной путь для предотвращения эксплуатации CVE-2020-4006. Информация о том, как реализовать и отменить обходной путь на серверах Linux и Windows, доступна ЗДЕСЬ

«Этот обходной путь должен быть временным, пока не удастся полностью исправить систему», — заявили в АНБ. «Кроме того, проверьте и укрепите конфигурации и мониторинг поставщиков федеративной аутентификации».

Эксплуатация позволяет развертывать веб-оболочку и кражу данных

В атаках, использующих CVE-2020-4006, АНБ наблюдало, что злоумышленники подключались к открытому веб-интерфейсу управления устройствами, на которых запущены уязвимые продукты VMware, и проникали в сети организаций для установки веб-шеллов с помощью внедрения команд

После развертывания веб-оболочек злоумышленники крадут конфиденциальные данные, используя учетные данные SAML, чтобы получить доступ к серверам Microsoft Active Directory Federation Services (ADFS)

Успешная эксплуатация уязвимости, обозначенной как CVE-2020-4006, также позволяет злоумышленникам выполнять команды Linux на скомпрометированных устройствах, что может помочь им добиться устойчивости

«При использовании продуктов, выполняющих аутентификацию, крайне важно, чтобы сервер и все службы, которые от него зависели, были правильно настроены для безопасной работы и интеграции», — поясняет АНБ

«В противном случае утверждения SAML могут быть сфальсифицированы, предоставляя доступ к многочисленным ресурсам. При интеграции серверов аутентификации с ADFS АНБ рекомендует следовать передовым методам Microsoft, особенно для защиты утверждений SAML и требования многофакторной аутентификации».

Обнаружить эти атаки с помощью сетевых индикаторов невозможно, поскольку вредоносная деятельность осуществляется после подключения к веб-интерфейсу управления через зашифрованные туннели TLS

Однако операторы exit, за которыми следуют 3-значные числа, такие как exit 123, найденные в журнале /opt/vmware/horizon/workspace/logs/configurator.log на серверах, указывают на то, что на устройстве могла произойти эксплуатационная активность

«Могут присутствовать и другие команды вместе с закодированными сценариями. Если такие журналы обнаружены, следует выполнить действия по реагированию на инциденты», — добавило АНБ. «Рекомендуется дополнительное исследование сервера, особенно на предмет вредоносных программ веб-оболочки».

Снижение риска успешных атак

Риск безопасности этой уязвимости снижается за счет того, что этот пароль должен быть установлен во время развертывания — выбор уникального и надежного пароля настоятельно рекомендуется

Ограничение доступа к веб-интерфейсу управления для затронутых продуктов дополнительно снижает риск успешной атаки

Агентство рекомендует в сообщении [PDF], что «сетевые администраторы NSS, DoD и DIB ограничивают доступность интерфейса управления на серверах только небольшим набором известных систем и блокируют прямой доступ в Интернет».

При подозрении на компрометацию АНБ рекомендует проверять журналы сервера на наличие признаков эксплуатации, проверять и обновлять конфигурации служб аутентификации и внедрять многофакторную аутентификацию для служб учетных данных безопасности

Не указывая пальцами

АНБ не назвало поддерживаемую Россией группу APT, использующую уязвимость внедрения команд VMware в текущих атаках

Однако, по крайней мере, одна такая хакерская группа активно атакует сети государственных, местных, территориальных и племенных (SLTT) государственных организаций США в течение последних нескольких месяцев

ФБР и DHS-CISA заявили в совместном сообщении, опубликованном в октябре, что спонсируемая государством российская хакерская группа Energetic Bear взломала и похитила данные из правительственных сетей США, начиная с сентября 2020 года

DHS-CISA предоставляет более подробную информацию об исторической вредоносной киберактивности , направленной на организации США (отслеживается как GRIZZLY STEPPE)