网络安全公司Sygnia的研究人员警告称，ESXi勒索软件攻击背后的威胁行为者利用SSH隧道技术针对虚拟化环境进行攻击，以逃避检测。

攻击手法：利用未受监控的ESXi设备

勒索软件团伙利用未受监控的ESXi设备在企业网络中持久存在并获取访问权限。他们采用“就地取材”的技术，利用SSH等原生工具创建未被检测到的SOCKS隧道，用于与C2服务器通信。

研究人员报告称，在许多情况下，攻击者通过使用管理凭据或利用已知漏洞绕过身份验证来入侵ESXi设备。一旦获得设备访问权限，攻击者就会使用原生SSH功能或部署具有类似功能的其他常见工具来设置隧道。

ESXi设备的日志管理挑战

ESXi设备的日志按活动分成多个文件，这增加了取证调查和监控活动的复杂性。配置日志转发对于简化监控和集中事件捕获至关重要。

Sygnia报告指出：“虽然ESXi确实支持一些第三方监控或遥测代理，但这些工具的可用性有限。作为一种更全面且更具成本效益的解决方案，配置从ESXi服务器到外部syslog服务器的syslog转发可以解决此问题。这种设置能够集中监控ESXi服务器内的所有活动，并作为日志保留的手段。”

报告还列出了以下关键日志文件，这些文件通常有助于检测和调查使用SSH隧道技术的攻击：

• /var/log/vobd.log（VMware观察守护进程日志）
• /var/log/shell.log（ESXi shell活动日志）
• /var/log/hostd.log（主机代理日志）
• /var/log/auth.log（认证日志）

报告还提供了多个与恶意活动相关的ESXi syslog文件中常见的活动和消息示例。

参考来源：

ESXi ransomware attacks use SSH tunnels to avoid detection

4A评测 - 免责申明

本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。

不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。

本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。

如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！

程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。

侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）