Ransomware visando plataformas de virtualização está em ascensão, diz Mandiant

A Mandiant observou um “aumento significativo” no número de incidentes envolvendo um ataque de ransomware direcionado à infraestrutura de virtualização, disse um especialista da empresa de segurança cibernética à VentureBeat.

O aumento ocorreu nos últimos seis a 12 meses e representa um ajuste das táticas dos agentes de ameaças, permitindo que eles “criptografem com mais rapidez e eficiência um grande número de hosts”, disse Greg Blaum, consultor predominant da Mandiant.

Na terça-feira, a Mandiant divulgou o M-Developments 2022, o 13º relatório anual de ameaças da empresa. Entre as principais descobertas está que a Mandiant observou agentes de ameaças focados em ransomware “visando cada vez mais a infraestrutura de virtualização”, a empresa divulgou no relatório M-Developments 2022.

Enquanto um tradicional ransomware um ataque requer a implantação da carga maliciosa em vários hosts no ambiente da vítima, um ataque à infraestrutura de virtualização pode infectar centenas de máquinas virtuais de uma só vez. Com essa variedade de ataques, “atingir uma máquina é muito mais eficaz”, disse Blaum.

A Mandiant relata que observou vários grupos de ransomware direcionados às plataformas VMware vSphere e ESXi durante 2021. Os invasores incluíam agentes de ameaças associados a Conti, Hive, DarkSide e Blackcat, de acordo com a empresa.

Nesse tipo de ataque, os agentes de ameaças utilizaram credenciais comprometidas para acessar o tool de gerenciamento vCenter Server da VMware, diz Mandiant. Os invasores usam o vCenter para descobrir todos os hosts ESXi que estão sendo usados ​​no ambiente da vítima, de acordo com a Mandiant.

Embora tradicionalmente seja uma plataforma de virtualização no native, vários provedores de nuvem também hospedarão esse tipo de infraestrutura de virtualização para clientes.

Mitigações

Em termos de mitigação para esse tipo de ataque, o mais eficaz é a segmentação de rede, disse Blaum. Isso envolve colocar o tool de gerenciamento usado com a infraestrutura de virtualização em uma rede isolada ou VLAN.

“Se não houver rotas de rede para chegar à infraestrutura de gerenciamento, será muito difícil para um invasor explorá-la”, disse Blaum.

O uso de uma solução de gerenciamento de acesso privilegiado (PAM) também seria útil para bloquear esse tipo de ataque, disse ele.

Em última análise, espera-se que os ataques de ransomware contra a infraestrutura de virtualização continuem sendo um problema, disse Blaum.

“Como o uso da infraestrutura de virtualização é tão difundido e o fato de que os invasores podem criptografar rápida e facilmente um grande número de hosts, vemos essa tendência continuar no futuro”, disse ele.