官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
网络安全公司Sygnia的研究人员警告称，ESXi勒索软件攻击背后的威胁行为者利用SSH隧道技术针对虚拟化环境进行攻击，以逃避检测。
攻击手法：利用未受监控的ESXi设备
勒索软件团伙利用未受监控的ESXi设备在企业网络中持久存在并获取访问权限。他们采用“就地取材”的技术，利用SSH等原生工具创建未被检测到的SOCKS隧道，用于与C2服务器通信。
研究人员报告称，在许多情况下，攻击者通过使用管理凭据或利用已知漏洞绕过身份验证来入侵ESXi设备。一旦获得设备访问权限，攻击者就会使用原生SSH功能或部署具有类似功能的其他常见工具来设置隧道。
ESXi设备的日志管理挑战
ESXi设备的日志按活动分成多个文件，这增加了取证调查和监控活动的复杂性。配置日志转发对于简化监控和集中事件捕获至关重要。
Sygnia报告指出：“虽然ESXi确实支持一些第三方监控或遥测代理，但这些工具的可用性有限。作为一种更全面且更具成本效益的解决方案，配置从ESXi服务器到外部syslog服务器的syslog转发可以解决此问题。这种设置能够集中监控ESXi服务器内的所有活动，并作为日志保留的手段。”
报告还列出了以下关键日志文件，这些文件通常有助于检测和调查使用SSH隧道技术的攻击：
/var/log/vobd.log（VMware观察守护进程日志）/var/log/shell.log（ESXi shell活动日志）/var/log/hostd.log（主机代理日志）/var/log/auth.log（认证日志）
报告还提供了多个与恶意活动相关的ESXi syslog文件中常见的活动和消息示例。
参考来源：
本文为 独立观点，未经允许不得转载，授权请联系FreeBuf客服小蜜蜂，微信：freebee2022