سلام و درود 🙋‍♂️

چند وقت پیش سر یک Incident، روی ESXi با Malwareی مواجه شدیم که:
1- کل VMهای Running رو Kill می‌کرد.
2- دیتا استورها رو بررسی می‌کرد تا یه دید کلی از VMها و Dataشون پیدا کنه.
3- از دیتای مرحله قبل استفاده میکرد و به‌ صورت Random بین VMها، هر بار بخشی از Dataشون رو با 0x00 جایگزین (Overwrite) می‌کرد و این فرایند تا تکمیل Wipe ادامه داشت.
4- در نهایت Host رو Reboot می‌کرد. (با هدف از بین بردن Data موجود در Memory)

چرا Random؟
که حتی اگه Processش در طول فرایند Wipe شناسایی و Kill شد، برگردوندن VMها حداقل با روش‌های عادی امکان‌پذیر نباشه و بنابراین بیشترین حجم تخریب ممکن ایجاد بشه.


⚠️ از اونجایی که همین Wiper، در چند سازمان مختلف دیگه هم دیده شده، پیشنهاد می‌کنم همین الان ESXiتون رو با این Rule اسکن کنید.

▪️ اگه امکان اجرای YARA Engine روی خود ESXi براتون زمان‌بره، می‌تونید همین Rule رو به صورت یک اسکریپت Pythonی آماده و اجرا کنید. (معمولا ESXi به‌صورت پیش‌فرض Python رو نصب داره)
▪️ اگه نگران Impact روی VMهای Running هستین، مسیر /vmfs/volumes/ رو اسکن نکنید.