Агентство кибербезопасности и защиты инфраструктуры Министерства внутренней безопасности (DHS CISA) подготовило сценарий для восстановления серверов VMware ESXi, зашифрованных в результате недавних массированных атак программ-вымогателей ESXiArgs.

Напомню, что на прошлой неделе тысячи серверов VMware ESXi были взломаны новым шифровальщиком ESXiArgs в рамках масштабной хакерской кампании. Злоумышленники воспользовались уязвимостью двухлетней давности (CVE-2021-21974), что позволило им выполнять удаленные команды на уязвимых серверах через OpenSLP (порт 427). При этом разработчики VMware подчеркнули, что никакие уязвимости нулевого дня хакеры точно не использовали, а OpenSLP после 2021 года вообще отключен по умолчанию.

То есть злоумышленники нацеливались на «значительно устаревшие» продукты, а их было немало. По данным CISA, было взломано около 2800 серверов, тогда как на прошлой неделе эксперты насчитали всего около 3200.

Вскоре после начала атак появился технический директор Yöre Grup Энес Сонмез. Масштабный лидерВ которой он описал метод, который позволяет администраторам VMware бесплатно расшифровывать поврежденные серверы, восстанавливать свои виртуальные машины и данные.

Дело в том, что хотя многие устройства зашифрованы, можно сказать, что вредоносная кампания в целом не увенчалась успехом: злоумышленникам не удалось зашифровать плоские файлы, в которых хранятся данные виртуального диска.

Однако метод восстановления виртуальных машин из незашифрованных плоских файлов, описанный Сонмезом и его коллегами, многим показался слишком сложным. Поэтому специалисты CISA подготовили Специальный скрипт Для восстановления поврежденных серверов, что должно быть гораздо меньшей проблемой, поскольку автоматизирует весь процесс.

«Инструмент работает, восстанавливая метаданные виртуальной машины с виртуальных дисков, которые не зашифрованы вредоносным ПО», — объясняют эксперты.

Также на гитхаб Также размещена пошаговая инструкция по использованию скрипта. CISA рекомендует администраторам просмотреть и изучить этот сценарий перед началом восстановления, чтобы понять, как он работает, и избежать возможных осложнений. Также настоятельно рекомендуется заранее сделать резервные копии.