CVE-2023-34048: zero-day, который тайно эксплуатировался около двух лет

Свобода в один клик! VPN через Телеграмм-бот для России:

Китайская UNC3886 не оставляет шансов на конфиденциальность пользователям VMware.

Группа киберпреступников, связанная с Китаем и известная как UNC3886, тайно использовала критическую zero-day уязвимость в системе управления VMware vCenter Server с конца 2021 года. Эта информация была раскрыта в недавнем отчёте компании Mandiant.

Уязвимость, получившая обозначение CVE-2023-34048 и оценку 9.8 по шкале CVSS, представляет собой ошибку записи за пределами выделенного блока (Out-of-bounds Write), которая позволяет злоумышленнику с доступом к сети vCenter Server произвести удалённое выполнение кода. 24 октября 2023 года, вскоре после выявления уязвимости, она была устранена компанией Broadcom.

В начале недели VMware обновила свои рекомендации по устранению последствий от этой уязвимости, где подтвердила, что CVE-2023-34048 эксплуатировалась в реальных условиях.

UNC3886 впервые привлекла внимание к своим действиям в сентябре 2022 года, когда было обнаружено, что группа использует неизвестные ранее уязвимости в VMware для внедрения бэкдоров в системы Windows и Linux. Среди распространяемого вредоносного софта были в том числе программы VirtualPita и VirtualPie.

VPN для России через Телеграмм – обеспечь доступ к любым ресурсам!

Последние данные от Mandiant показывают, что уязвимостью нулевого дня, использованной китайскими хакерами UNC3886 для атаки на VMware, была именно CVE-2023-34048. Эксплуатация позволила злоумышленникам получить привилегированный доступ к системе vCenter, перечислить все хосты ESXi и подключенные к ним виртуальные машины.

Далее атакующие получили доступ к учётным данным «vpxuser» хостов в открытом виде и подключились к ним для установки вредоносного ПО, что позволило подключаться к хостам напрямую.

Данная последовательность действий, в свою очередь, открывает путь к эксплуатации другой уязвимости VMware — CVE-2023-20867 (оценка CVSS: 3.9), позволяя выполнять произвольные команды и передавать файлы между виртуальными машинами и скомпрометированным хостом ESXi. Об этом Mandiant сообщала в июне 2023 года.

Пользователям VMware vCenter Server рекомендуется как можно скорее обновиться до последней версии ПО, чтобы минимизировать любые потенциальные угрозы.

В последние годы UNC3886 также часто использовала уязвимость CVE-2022-41328 (оценка CVSS: 6.5) в программном обеспечении Fortinet FortiOS для развёртывания инструментов THINCRUST и CASTLETAP, позволяющих выполнять произвольные команды с удалённого сервера и эксфильтровать конфиденциальные данные.

Эти атаки особенно опасны для технологий брандмауэров и виртуализации, поскольку они часто не поддерживают EDR-решения, что позволяет злоумышленникам длительное время оставаться в целевых средах.

Невидимка в сети: научим вас исчезать из поля зрения хакеров.

Подпишитесь!

Купить VPN в России означает приобретение услуги виртуальной частной сети (VPN), которая обеспечивает безопасное и анонимное подключение к интернету с территории России. Это может быть особенно актуально в свете ограничений и блокировок, применяемых к определённым ресурсам в стране.

Зачем нужен VPN в России?

• VPN позволяет получить доступ к заблокированным сайтам и сервисам, таким как социальные сети, стриминговые платформы и другие ресурсы.
• Использование VPN помогает скрыть ваш IP-адрес и шифровать интернет-трафик, что защищает ваши данные от перехвата.
• VPN помогает сохранить анонимность при серфинге, предотвращая отслеживание вашей интернет-активности как интернет-провайдерами, так и третьими лицами.
• VPN защищает ваши данные при подключении к общественным Wi-Fi, минимизируя риск кражи информации.