سروای تی

نجات ماشینهای مجازی هک شده Esxi 

بازگرداندن ماشینهای مجازی هک بعد از هک شدن سرورهای vmware

چند روزی هست که یک حمله گسترده در کل دنیا انجام شده که در این حمله بسیاری از سرورهایی که از vmware نسخه پایین مانند 6.7 u1-u2 استفاده میکردند مورد اسیب در این حمله قرار گرفتند و کل ماشینهای مجازی داخل آن سرور بصورت کامل اینکریپت شده و عملا از بین رفته .

تیم فنی سروآی تی از روز اول این حمله بصورت 24 ساعت این حمله را از جهات مختلف مورد بررسی قرار دادند و موفق به بازیابی 80درصد ماشینهای داخل آن سرورها شدند .

در این مقاله ما سعی کردیم راحل حل مقابله با این حمله را بیان کنیم و در مرحله بعد نحوه بازیبای ماشینهای مجازی را بیان کنیم

راه حل جلوگیری از این حمله

برای جلوگیری از این حمله اپدیت سرور به اخرین اپدیت ارائه شده توسط شرکت VMWARE میباشد ولی راه حل دیگه غیر فعال کردن SLP با استفاده از دستورات زیر حتما این مورد را انجام دهید

[enesdev@ESXi:~] /etc/init.d/slpd stop
[enesdev@ESXi:~] esxcli network firewall ruleset set -r CIMSLP -e 0
[enesdev@ESXi:~] chkconfig slpd off

و اما راه حل دیگر محدود کردن ورود به سرور از ای پی های ست شده میباشدکه از طریق تنظیمات در vmware قابل انجام میباشد

نجات ماشینهای مجازی هک شد در vmware

سرورهایی که هک شدن فایل‌های vmdk ها رمزگذاری شده‌اند و عملاً دسترسی به ماشین مجازی ها امکان پذیر نیست. اما نکته ای که وجود دارد این ویروس تنها فایل های .vmdk و .vmx را مورد حمله قرار می دهد اما به فایل های server-flat.vmdk آسیبی نمی رساند.

در ساختار esxi دیتاها در فایل های flat.vmdk نگه داری می‌شود. بنابراین در ادامه این آموزش می خواهیم نحوه بازگردانی ماشین های مجازی از طریق فایل های flat.vmdk را پیش ببریم.

در ابتدا می بایست از طریق ssh وارد سرور شوید.

g03vg3d
اگر صفحه اول سرور شما که در مرورگر باز میکنید با پیغام هکر روبرو شده سرور را از طریق ssh یا از طریق پنل سرور خود ریبوت دهید تا این پیغام حذف شود

بعد از بالا آمدن سرور و ورود به محیط ssh به مسیر هاردهای خود رفته و ماشین مجازی که میخواهید برای بازیابی آن اقدام کنید وارد پوشه آن شوید

5srp8cp
خب در این مرحله  ls -la را وارد نمایید، با این دستور حجم فایل vmname-flat.vmdk را مشاهده می‌کنید.
با دستور زیر فایل vmdk که اینکریپت شده را حذف میکنیم
rm -rf xxx.vmdk

توجه کنید xxxنام همان ماشین مجازی هست که در د ستور ls -la مشاهده کردید

*** توجه  هرگز نباید فایل vmname-flat.vmdk را حذف کنید ***

6wzod0d
در این مرحله حجم فایل vmname-flat.vmdk که در مرحله های قبل ملاحظه نمودید را می بایست در دستور زیر جایگزین  64424509440  نمایید.
vmkfstools -c 64424509440 -d thin temp.vmdk

این عدد 64424509440 در ماشینهای مختلف متفاوت هست که با همان دستور ls -la مشاهده میشود

حالا با استفاده از نرم افزار WinSCP وارد سرور خود شده و به همان مسیر ماشین مجازی که روی آن کار میکنید بروید خواهید دید دو فایل با نام های temp.vmdk و temp-flat.vmdk باید ایجاد شده باشد

1eon6bh
نجات ماشینهای مجازی هک شده Esxi  13

فایل temp.vmdk رو دوبار روش کلیک کنید تا با استفاده از نوت پد باز شود

q12ovo8
در خظ نه 9 بجای عبارت temp-flat.vmdk نام ماشین خود را به صورت185.88.172.17 -flat.vdmk وارد کنید مانند تصویر زیر (نام ماشین ماجی را جایگزین temp کنید) و در خط 19 ddb.thinProvisioned = “1” را حذف کنید
ddb.thinProvisioned = "1"    در خط 19 حذف کنید
lcgk00y
نجات ماشینهای مجازی هک شده Esxi  14

بعد از انجام این تغییرات باید فایل temp-flat.vmdk را حذف کنید و فایل temp.vmdk را 185.88.172.17.vmdk (نام ماشین خود) تغییر دهید.

qzamnc7
نجات ماشینهای مجازی هک شده Esxi  15
bk3zrcm
در این مرحله باید فایل .vmx ماشین را بررسی کنیم، در صورتیکه این فایل encrypt شده باید می‌توانیم از فایل .vmx~ که بکاپ فایل .vmx می باشد استفاده کنیم.
اگر فایل .vmx کد شده بود باید فایل .vmx~ را جایگزین آن کنید.
در همین جا فایل .vmx~ باز کنید و تمام محتویات درون ان را کپی و با محتویات فایل .vmx جایگزین کنیدو ذخیره کنید
n199z4a
نجات ماشینهای مجازی هک شده Esxi  16

حالا فایل .vmsd را که کد شده حذف کنید

pfrevm9
نجات ماشینهای مجازی هک شده Esxi  17

برگردید به ssh و دستور زیر را وارد کنید xxx نام ماشین شماست

vmkfstools -e xxxx.vmdk
44rppif
نجات ماشینهای مجازی هک شده Esxi  18

کار تمام هست برگردید به vmware وارد هارد شوید و با راست کلیک xxx.vmx  (نام ماشین شما)در پوشه ماشین Register VM را بزنید اگر ریجستر با خطای مواجه شد که این ماشین موجود هست برگردید به لیست ماشینهای خود ان ماشین را unregister کنید و دباره برگردید و register کنید

سپس خواهید دید که ماشین بالا خواهد آمد

6pa9y3r
نجات ماشینهای مجازی هک شده Esxi  19

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *