网络安全公司Sygnia的研究人员警告称，ESXi勒索软件攻击背后的威胁行为者利用SSH隧道技术针对虚拟化环境进行攻击，以逃避检测。

攻击手法：利用未受监控的ESXi设备

勒索软件团伙利用未受监控的ESXi设备在企业网络中持久存在并获取访问权限。他们采用“就地取材”的技术，利用SSH等原生工具创建未被检测到的SOCKS隧道，用于与C2服务器通信。

研究人员报告称，在许多情况下，攻击者通过使用管理凭据或利用已知漏洞绕过身份验证来入侵ESXi设备。一旦获得设备访问权限，攻击者就会使用原生SSH功能或部署具有类似功能的其他常见工具来设置隧道。

ESXi设备的日志管理挑战

ESXi设备的日志按活动分成多个文件，这增加了取证调查和监控活动的复杂性。配置日志转发对于简化监控和集中事件捕获至关重要。

Sygnia报告指出：“虽然ESXi确实支持一些第三方监控或遥测代理，但这些工具的可用性有限。作为一种更全面且更具成本效益的解决方案，配置从ESXi服务器到外部syslog服务器的syslog转发可以解决此问题。这种设置能够集中监控ESXi服务器内的所有活动，并作为日志保留的手段。”

报告还列出了以下关键日志文件，这些文件通常有助于检测和调查使用SSH隧道技术的攻击：

• /var/log/vobd.log（VMware观察守护进程日志）
• /var/log/shell.log（ESXi shell活动日志）
• /var/log/hostd.log（主机代理日志）
• /var/log/auth.log（认证日志）

报告还提供了多个与恶意活动相关的ESXi syslog文件中常见的活动和消息示例。

参考来源：

ESXi ransomware attacks use SSH tunnels to avoid detection