ESXiArgs 勒索软件攻击之 VMware ESXi 服务器下的“天幕杀机”

通过分析发现与该勒索行为相关的文件共有5个，位于受害服务器中的/tmp/文件夹下，相关恶意文件及描述如下所示：

encrypt– 加密器（ELF可执行文件）
encrypted.sh – 执行加密器之前的功能文件
public.pem – 用于加密文件的RSA加密算法中的公钥
motd——文本格式的勒索信文件
index.html – html格式的勒索信文件

该样本使用参数进行启动，在程序启动初始阶段便会对参数进行强校验，样本通过正确参数启动后便会进行后续操作，勒索信文件名为 “How to Restore Your Files.html”， 指示受害者通过  TOX_ID  与攻击者取得联系，以恢复加密文件或防止数据被泄露。

encrypt.sh

shell脚本整体逻辑如下所示：

修改配置文件

修改虚拟机的磁盘文件 vmdk 及虚拟内存文件 vswp 的文件名，增加受害者在文件加密后找到和恢复初始数据的困难性。

加密文件

首先枚举 ESXi 主机上所有的存储卷，因此未连接到 VM 的虚拟磁盘可能也会受到影响。

加密存储卷中包含如下扩展名的文件：

*.vmdk
*.vmx
*.vmxf
*.vmsd
*.vmsn
*.vswp
*.vmss
*.nvram
*.vmem

持久化

将 encrypt_file() 勒索信文件复制到 /usr/lib/vmware 目录下

防御规避

该勒索软件为了避免被发现及数据恢复，尝试了如下操作：包括删除系统中所有的 log 文件、清除计划任务、删除备份文件、删除 http 端口配置文件中所有存在的 ip、删除store/packages/vmtools.py后门文件及最初始上传的 tmp/ 目录下的恶意文件。

启动ssh服务

加密器encrypt

启动命令，启动参数包括公共 RSA 密钥文件、要加密的文件路径、避免加密的数据块、加密块的大小和文件大小。

勒索软件启动会执行多个步骤来加密系统文件

encrypt_file()函数进一步调用encrypt_simple()函数来执行加密过程。下图显示了 encrypt_file()函数的代码片段

encrypt_simple函数如下所示：

sosemanuk_encrypt 加密过程如下所示：

检查存储在 result 中的值是否小于 0x4F，当小于 0x4F时，它将明文的前 80LL - (a1 + 128)字节与 Sosemanuk 密码的内部状态进行异或。然后该函数进入一个循环，每次以 80LL 字节的块加密剩余的明文，在每个块加密后更新 Sosemanuk密码的内部状态。然后将加密块与明文进行异或运算以生成密文。

文件小于 128MB 时，完全加密

文件大于 128MB (1M=1024K)时未完全加密

生成流密钥

ESXi勒索软件支付地址列表

https://gist.github.com/cablej/c79102960c4615396e8ffc712136744a

MD5

d0d36f169f1458806053aae482af5010    encrypt.sh
87b010bc90cd7dd776fb42ea5b3f85d3    encrypt