新發現的 Python 惡意軟體，會在 VMware ESXi 伺服器開啟遠端遙控後門 @ 台灣電腦網路危機處理暨協調中心-TWCERT/CC

新發現的 Python 惡意軟體，會在 VMware ESXi 伺服器開啟遠端遙控後門

網通大廠 Juniper Networks 旗下的資安研究人員，日前發現一個過去未曾發現的 Python 後門，專門攻擊VMware ESXi 伺服器，駭侵者能藉以在遭駭侵系統上遠端執行。

VMware ESXi 是一種廣受企業使用的虛擬化平台，可以高效率地運用主機的 CPU 與記憶體資源，同時執行多個伺服器。

Juniper Networks 發現的新後門，很可能是利用兩個十分老舊，存於 VMware ESXi OpenSLP 的漏洞 CVE-2019-5544 與 CVE-2020-3992 來發動攻擊；駭侵者在 /etc/ec.local.d/local.sh 這個指令檔中加上 7 行 Python 指令，啟動一個 web server，以接受來自駭侵者的密碼保護 POST 要求；這些要求可以攜帶以 base-64 編碼的惡意軟體酬載，或是在主機上啟用一個 reverse shell 連上駭侵者的控制伺服器。這種手法可以避免防火牆的阻擋。

Juniper 的資安研究人員，在實際攻擊案例中觀察到駭侵者利用此方式，更改 ESXi 的反向 http proxy 設定，使其可以遠端控制該主機，並發動進一步的駭侵攻擊。

建議措施：Juniper 提供的暫時處理方案指出，VWware ESXi 伺服器的管理者，應立即檢查伺服器的 /etc/ec.local.d/local.sh 檔案中，是否多出報告中列出的 7 行惡意 Python 程式碼，如發現異常，應徹底檢查主機是否有可疑的設定變更。此外，也應設定 ESXi 主機僅能透過可信賴的主機進行連線。