حمله Hypervisor Heist:
عبور خاموش از تمام خطوط دفاعی ویندوز و سرقت اعتبارنامه‌ها از VMware vSphere
در فضای امروز امنیت سایبری، بیشتر تمرکز سازمان‌ها روی حفاظت از سیستم‌عامل‌ها، سرویس‌ها و اپلیکیشن‌هاست. اما مهاجمان پیچیده‌تر سراغ لایه‌ای می‌روند که اغلب مورد غفلت قرار می‌گیرد:
هایپروایزر. یکی از سناریوهای حمله پیشرفته و به‌شدت خطرناک همین حمله Hypervisor Heist است که به ما نشان می‌دهد چطور یک تهدید می‌تواند خارج از دید کامل EDR و SIEM، اعتبارنامه‌های دامین کنترلر را سرقت کند.
شرح سناریوی حمله
در این حمله، مهاجم با دسترسی به vCenter (یا Hypervisor)، مراحل زیر را اجرا می‌کند:
شناسایی و خاموش‌کردن ماشین مجازی دامین کنترلر
مهاجم از vCenter ماشین دامین کنترلر را شناسایی و خاموش می‌کند تا دیسک آن باز نشود و دسترسی بگیرد.
جداسازی دیسک مجازی (.vmdk)
دیسک مجازی دامین کنترلر را از VM جدا کرده و به یک ماشین مجازی دیگر متصل می‌کند.
دسترسی آفلاین به دیتای حساس
در ماشین جدید، فایل NTDS.dit (بانک اطلاعاتی Active Directory) را کپی و استخراج می‌کند و حتی فایل‌ها و Credentialهای Kerberos و Hashها را استخراج می‌کند.
بازگشت به وضعیت عادی
نهایتاً دیسک مجازی را به همان VM اولیه برمی‌گرداند، VM را روشن می‌کند—انگار هیچ اتفاقی نیفتاده!
چرا این حمله را “Heist” می‌نامیم؟
پنهان‌کاری کامل: چون تمام عملیات روی دیسک آفلاین و بیرون از سیستم‌عامل ویندوز انجام می‌شود، محصولات امنیتی مانند EDR، XDR یا حتی SIEM هرگز متوجه حذف و کپی شدن NTDS.dit نمی‌شوند.
دور زدن هر نوع Rule شبکه: چون انتقال داده معمولاً از طریق سرور مدیریت (vCenter یا VCSA) انجام می‌شود، نفوذگر می‌تواند محدودیت‌های لایه شبکه را دور بزند مگر اینکه به‌درستی روی‌داده یا مانیتورینگ شود.
غفلت امنیتی سازمان‌ها: خیلی از سازمان‌ها هنوز هایپروایزر و زیرساخت مدیریت VMها را مانند سرویس‌های حیاتی، جدی نمی‌گیرند. در حالی که کنترل این لایه مساوی با کنترل همه چیز است.
راهکارها و توصیه‌ها
جداسازی شبکه مدیریت هایپروایزرهیچ دسترسی غیرضروری، اینترنتی یا حتی داخلی بدون کنترل نباید به vCenter و ESXi داده شود.
فعال‌سازی مانیتورینگ دقیق برروی vCenter، ESXi و Hypervisor APIsSIEM و SOAR باید آلارم‌های خاص مانند جدا کردن یا Add کردن دیسک، خاموش/روشن کردن غیرمنتظره VM را تحلیل کند.
رمزگذاری دیسک‌های VM و استفاده از TPM مجازیحتی اگر دیسک جدا شد، فقط با کلیدهای مدیریتی قابل بازیابی باشد.
استفاده از حساب‌های با کمترین سطح دسترسی و MFA برای مدیریت هایپروایزر
آموزش تیم عملیاتی و SOC در مورد TTPهای attack surface لایه مجازی‌سازی
#آکادمی_روزبه
#تجربه #درس_آموخته
عبور خاموش از تمام خطوط دفاعی ویندوز و سرقت اعتبارنامه‌ها از VMware vSphere
در فضای امروز امنیت سایبری، بیشتر تمرکز سازمان‌ها روی حفاظت از سیستم‌عامل‌ها، سرویس‌ها و اپلیکیشن‌هاست. اما مهاجمان پیچیده‌تر سراغ لایه‌ای می‌روند که اغلب مورد غفلت قرار می‌گیرد:
هایپروایزر. یکی از سناریوهای حمله پیشرفته و به‌شدت خطرناک همین حمله Hypervisor Heist است که به ما نشان می‌دهد چطور یک تهدید می‌تواند خارج از دید کامل EDR و SIEM، اعتبارنامه‌های دامین کنترلر را سرقت کند.
شرح سناریوی حمله
در این حمله، مهاجم با دسترسی به vCenter (یا Hypervisor)، مراحل زیر را اجرا می‌کند:
شناسایی و خاموش‌کردن ماشین مجازی دامین کنترلر
مهاجم از vCenter ماشین دامین کنترلر را شناسایی و خاموش می‌کند تا دیسک آن باز نشود و دسترسی بگیرد.
جداسازی دیسک مجازی (.vmdk)
دیسک مجازی دامین کنترلر را از VM جدا کرده و به یک ماشین مجازی دیگر متصل می‌کند.
دسترسی آفلاین به دیتای حساس
در ماشین جدید، فایل NTDS.dit (بانک اطلاعاتی Active Directory) را کپی و استخراج می‌کند و حتی فایل‌ها و Credentialهای Kerberos و Hashها را استخراج می‌کند.
بازگشت به وضعیت عادی
نهایتاً دیسک مجازی را به همان VM اولیه برمی‌گرداند، VM را روشن می‌کند—انگار هیچ اتفاقی نیفتاده!
چرا این حمله را “Heist” می‌نامیم؟
پنهان‌کاری کامل: چون تمام عملیات روی دیسک آفلاین و بیرون از سیستم‌عامل ویندوز انجام می‌شود، محصولات امنیتی مانند EDR، XDR یا حتی SIEM هرگز متوجه حذف و کپی شدن NTDS.dit نمی‌شوند.
دور زدن هر نوع Rule شبکه: چون انتقال داده معمولاً از طریق سرور مدیریت (vCenter یا VCSA) انجام می‌شود، نفوذگر می‌تواند محدودیت‌های لایه شبکه را دور بزند مگر اینکه به‌درستی روی‌داده یا مانیتورینگ شود.
غفلت امنیتی سازمان‌ها: خیلی از سازمان‌ها هنوز هایپروایزر و زیرساخت مدیریت VMها را مانند سرویس‌های حیاتی، جدی نمی‌گیرند. در حالی که کنترل این لایه مساوی با کنترل همه چیز است.
راهکارها و توصیه‌ها
جداسازی شبکه مدیریت هایپروایزرهیچ دسترسی غیرضروری، اینترنتی یا حتی داخلی بدون کنترل نباید به vCenter و ESXi داده شود.
فعال‌سازی مانیتورینگ دقیق برروی vCenter، ESXi و Hypervisor APIsSIEM و SOAR باید آلارم‌های خاص مانند جدا کردن یا Add کردن دیسک، خاموش/روشن کردن غیرمنتظره VM را تحلیل کند.
رمزگذاری دیسک‌های VM و استفاده از TPM مجازیحتی اگر دیسک جدا شد، فقط با کلیدهای مدیریتی قابل بازیابی باشد.
استفاده از حساب‌های با کمترین سطح دسترسی و MFA برای مدیریت هایپروایزر
آموزش تیم عملیاتی و SOC در مورد TTPهای attack surface لایه مجازی‌سازی
#آکادمی_روزبه
#تجربه #درس_آموخته
Comments
Be the first to add a comment
Log in to comment