卡巴斯基全球应急响应团队（GERT）发现，近期针对ESXi和Proxmox虚拟化环境的勒索软件攻击——这类环境是企业在共享基础设施上运行、管理多台服务器与业务负载的系统——并未借助虚拟机逃逸技术。攻击者的入侵与加密虚拟基础设施的手段，是利用薄弱的管理权限管控、重复使用的root账号凭证，以及监控系统和管理员工作站存在的不良安全操作习惯。
卡巴斯基专家基于2025年10月一起ESXi环境下BlackNevas勒索软件案例、2026年8月一起Proxmox环境下The Gentlemen勒索软件案例开展研究后得出结论：这些安全事件的主要攻击路径源于配置错误和凭证泄露，而非突破虚拟机监控程序的隔离边界。宽松的访问控制、不完善的网络隔离、暴露的管理服务以及高权限凭证的不安全保管，为攻击者搭建了一条从支撑系统渗透至虚拟化层的可行通道，攻击者借此可对多台宿主机造成影响。
监控体系存在防护缺口：专家调查了一起BlackNevas勒索软件活动，该攻击关联虚拟化域控制器网段内的一台Windows主机，该网段是IT环境中负责管理用户身份验证与访问权限的模块。能够记录Windows主机运行程序的UserAssist痕迹显示，攻击者运行了远程访问工具AnyDesk，以及常用于检测底层系统行为的程序GMER二进制文件。该环境还部署了PRTG网络监控平台，这套基础设施监控系统拥有访问ESXi宿主机（运行虚拟机的服务器）的广泛权限。
卡巴斯基GERT专家发现，多台节点复用同一个拥有最高管理权限的root密码。攻击者攻陷监控环境后，利用该凭证通过SSH（标准远程管理通道）连接至ESXi宿主机。接入后，攻击者上传了名为esx的文件并尝试执行。首次执行被拦截，报错信息为“禁止执行未安装文件”。但由于攻击者已经拿到root权限，能够修改系统配置，最终成功运行恶意程序。攻击者还删除日志，以此降低取证溯源的有效信息，增加后续事件调查难度。
凭证直接暴露：在另一起Proxmox环境下的The Gentlemen勒索软件攻击案例中，出现了类似攻击模式。攻击者从一台失陷的管理员工作站（用于管理核心IT基础设施的员工主机）中存储的笔记里，获取到管理账号凭证与访问信息。凭借这些信息，攻击者以最高权限root账号登录Proxmox，启用VNC Web套接字（基于浏览器、用于操作虚拟机的远程控制台），并借助该访问权限在整个集群（一组统一管理的互联服务器）内下载、执行勒索软件，最终加密整套虚拟化环境。
卡巴斯基GERT专家Rauf Johari表示：“这些案例说明，安全防御人员必须将监控平台、管理员工作站以及管理网络视作虚拟化攻击面的组成部分。案例同时证明，仅靠漏洞修复远远不够。即便虚拟机监控程序的补丁全部打满，如果攻击者能够拿到共享密码、权限过高的监控账号、开放的SSH通道，或是普通服务器网络可直达的管理界面，依旧可以实施入侵。在这起ESXi攻击事件中，系统自带的执行控制机制起初正常生效，但攻击者权限足够高，能够关闭该防护。对于企业而言，收紧管理权限、隔离管理系统、减少高权限凭证的暴露，是保护虚拟基础设施的核心工作。”
为保障安全，卡巴斯基建议各组织采取以下措施：
●将虚拟化管理系统与普通服务器网络隔离。管理界面、监控平台、管理网络应当做好网段划分，仅允许经过严格管控的设备访问。
●杜绝常态化使用、存储可复用的共享高权限凭证。root账号及其他高权限账号需严格管控，定期轮换密码，绝不以明文形式存放在内网中容易被访问的位置。
●管理权限遵循最小必要原则。监控账号、管理员工作站、服务访问权限都落实最小权限原则，避免单个支撑系统失陷后直接波及虚拟机监控程序宿主机。
●加固并监控所有可访问虚拟化宿主机的系统。监控服务器、管理员终端、SSH通道都属于攻击面，需要强化访问控制、持续监控，快速识别异常行为。
●部署专业安全防护方案。卡巴斯基云工作负载安全产品非常适合应对虚拟化环境风险，融合了卡巴斯基混合云安全与卡巴斯基容器安全两大产品能力。
●部署多层防护方案，例如卡巴斯基Next，可提供统一的实时防护、威胁可视能力，以及EDR和XDR的事件调查与响应能力。
●借助卡巴斯基失陷评估、托管检测与响应、事件响应服务，抵御隐蔽网络攻击，开展事件调查，在企业缺少网络安全人员时提供专业技术支持。
●为网络安全人员提供威胁情报能力，例如使用威胁情报服务，及时掌握攻击者最新的技术、战术和流程。
A5创业网 版权所有
