Hackeri ruși folosesc Hyper-V pentru a ascunde malware în mașini virtuale Linux: O nouă tactică de evaziune a securității cibernetice

 

Un grup de hackeri ruși, cunoscut sub numele de Curly COMrades, a fost descoperit folosind o tactică inedită pentru a ascunde malware în mașini virtuale Linux, exploatând tehnologia Hyper-V a Microsoft. Această metodă permite atacatorilor să ruleze instrumente malicioase într-un mediu izolat, evadând astfel sistemele tradiționale de detectare a amenințărilor (EDR) și menținând acces persistent la rețelele victimelor.

Descoperirea atacului Investigațiile efectuate de Bitdefender, în colaborare cu echipa de răspuns la incidente cibernetice din Georgia (CERT), au scos la iveală o campanie sofisticată în care atacatorii activează rolul Hyper-V pe sistemele Windows compromise, apoi implementează o mașină virtuală minimalistă bazată pe distribuția Alpine Linux. Această mașină virtuală, care ocupă doar 120MB spațiu pe disc și 256MB memorie, este folosită pentru a rula instrumente personalizate, precum CurlyShell (un shell invers) și CurlCat (un proxy invers), care facilitează comunicarea ascunsă cu serverele de comandă și control (C2) ale atacatorilor. Prin izolare, malware-ul rulat în interiorul mașinii virtuale nu este detectat de soluțiile de securitate instalate pe sistemul gazdă, care nu au capacități de inspecție a traficului de rețea din mașinile virtuale.

Modul de operare Atacatorii obțin acces la distanță la sistemele țintă, activează rolul Hyper-V și dezactivează interfața de management pentru a reduce vizibilitatea. Apoi, descarcă o imagine a mașinii virtuale, camuflată ca un fișier video, pe care o extrag și o importează în Hyper-V folosind PowerShell. Mașina virtuală este denumită uneori „WSL” pentru a imita funcția legitimă Windows Subsystem for Linux, în speranța că activitatea de virtualizare va trece neobservată de administratorii de sistem.

Impact și recomandări Această tactică subliniază vulnerabilitățile sistemelor de securitate care nu acoperă în mod holistic mediile virtualizate. Experții recomandă auditarea utilizării Hyper-V pe toate endpoint-urile, dezactivarea acestuia unde nu este necesar, monitorizarea activității PowerShell și WMI pentru importuri neașteptate de mașini virtuale, precum și activarea inspecției traficului de rețea la nivel de gazdă, în special pe sistemele cu virtualizare activată.

Concluzie Abusul tehnologiei Hyper-V reprezintă o evoluție semnificativă în tacticile de evaziune a securității cibernetice. Grupul Curly COMrades a demonstrat că virtualizarea poate fi transformată într-o armă împotriva sistemelor de apărare tradiționale. Organizațiile sunt sfătuite să își revizuiască strategiile de securitate pentru a include monitorizarea activității de virtualizare și a traficului de rețea între mașinile virtuale și rețeaua externă.

Surse:

• BleepingComputer
• CyberInsider
• CyberNews
• SecurityAffairs