Linux 및 ESXi 기반 시스템은 점점 더 랜섬웨어 공격의 희생양이 되고 있습니다. 그렇다면 서버를 어떻게 보호할 수 있을까요?
서버 공격에 사용되는 방법 및 랜섬웨어로부터 보호하는 방법
랜섬웨어. 귀찮습니다. 하지만 어떻게 방어선을 구축할 수 있을까요? 무엇보다 먼저 보호해야 할 것은 무엇입니까?
대부분의 경우 Windows 워크스테이션, Active Directory 서버 및 기타 Microsoft 제품이 주요 후보입니다. 그리고 이 접근법은 대부분 불법이 아닙니다.
그러나 사이버 범죄 전술은 끊임없이 발전하고 있으며, 현재 Linux 서버 및 가상화 시스템을 위한 악성 툴이 개발되고 있습니다.
2022년에 리눅스 시스템에 대한 총 공격 수는 약 75% 증가했습니다.
이러한 공격의 동기는 분명합니다. 오픈 소스 및 가상화의 인기가 높아지고 있으며, 이는 Linux 또는 VMWare ESXi를 실행하는 서버가 점점 더 많아지고 있다는 것을 의미합니다.
암호화된 경우 기업의 운영을 즉시 무력화할 수 있는 많은 중요 정보를 저장하는 경우가 많습니다.
또한 Windows 시스템의 보안이 전통적으로 관심의 초점이 되어 왔기 때문에 Windows 이외의 서버는 문제가 없는 것으로 드러나고 있습니다.
2022~2023년 공격
2023년 2월, 많은 VMware ESXi 서버 소유자가 ESXiArgs 랜섬웨어 CVE-2021-21974 취약성을 이용하여 공격자가 가상 시스템을 비활성화하고 .
vmxf, .vmx, .vmdk, .vmsd 및 .nvram 파일을 암호화했습니다.
CVE-2023-0669를 통해 취약한 Fortra GoAnywhere 파일 전송 서비스를 대규모로 공격한 것으로
알려진 악명 높은 Clop gang은 Linux 버전의 랜섬웨어를(제한적인 방식) 사용하여 2022년 12월에 발견되었습니다.
윈도우 서버와 크게 다르지만(일부 최적화 및 방어 트릭이 없음) Linux 권한 및 사용자 유형에 맞게 조정되며 특히 Oracle 데이터베이스 폴더를 대상으로 합니다.
BlackBasta 랜섬웨어의 새 버전은 ESXi 하이퍼바이저에 대한 공격을 위해 특별히 설계되었습니다.
암호화 체계는 다중 프로세서를 포함하는 다중 스레드 모드에서 ChaCha20 알고리즘을 사용합니다.
ESXi 팜은 일반적으로 다중 프로세서이기 때문에 이 알고리즘은 전체 환경을 암호화하는 데 걸리는 시간을 최소화합니다.
해체 직전에 Conti 해커 그룹은 ESXi를 대상으로 한 랜섬웨어로 무장했습니다.
불행하게도, 콘티의 코드의 상당 부분이 유출되었다는 것을 고려할 때, 그들의 개발은 이제 광범위한 사이버 범죄자들이 이용할 수 있습니다.
Rust로 작성된 BlackCat 랜섬웨어는 ESXi 가상 시스템을 사용하지 않도록 설정하고 삭제할 수도 있습니다.
다른 측면에서 이 악성 코드는 Windows 버전과 거의 차이가 없습니다.
2022년에 발견된 Luna 랜섬웨어는 처음부터 Windows, Linux 및 ESXi 시스템에서 실행할 수 있는 크로스 플랫폼이었습니다.
물론 LockBit 그룹도 이러한 추세를 무시하지 못할 리가 없습니다.
이 그룹도 계열사에 ESXi 버전의 멀웨어를 제공하기 시작했습니다.
오래된 공격(그러나 안타깝게도 효과적인)에 대해서는 Linux 서버에 큰 타격을 준 Roman EXX 및 QNAP Crypt 캠페인도 있었습니다.
서버 공격 전술
Linux 서버 침투는 일반적으로 취약성 공격을 기반으로 합니다. 공격자는 운영 체제, 웹 서버 및 기타 기본 애플리케이션은 물론 비즈니스 애플리케이션,
데이터베이스 및 가상화 시스템의 취약성을 무기화할 수 있습니다.
Log4에서 작년에 입증한 바와 같이셸, 오픈 소스 구성 요소의 취약성에는 특별한 주의가 필요합니다.
많은 랜섬웨어 변종들은 초기 침해 후 추가적인 속임수나 취약점을 사용하여 권한을 높이고 시스템을 암호화합니다.
리눅스 서버에 대한 우선 순위 보호 조치
Linux 서버에 영향을 미치는 공격 가능성을 최소화하려면 다음을 수행하는 것이 좋습니다:
-취약성을 신속하게 패치
-열려 있는 인터넷 포트 및 연결 수 최소화
-서버에 전문 보안 도구를 배포하여 운영 체제 자체는 물론 서버에 호스팅된 가상 시스템 및 컨테이너를 모두 보호
Linux 보호에 대한 자세한 내용은 전용 post.nl 를 참조하십시오
출처 https://www.kaspersky.com/blog/linux-vmware-esxi-ransomware-attacks/47988/
카스퍼스키 제품문의 02-716-1915
sales@softinfo.co.kr
