Kyber Ransomware Doppio Problema: Attacchi a Windows ed ESXi Spiegati

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

Kyber Ransomware Doppio Problema: Attacchi a Windows ed ESXi Spiegati

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Kyber è una minaccia ransomware cross-platform progettata per crittografare i dati su sistemi VMware ESXi e server di file Windows. Gli operatori si affidano a utilità native come esxcli, PowerShell e vssadmin per spegnere le macchine virtuali, rimuovere le copie shadow e distribuire note di riscatto in ambiente compromesso. A marzo 2026, i ricercatori hanno recuperato due campioni correlati: un file binario ELF che prende di mira ESXi e un file PE basato su Rust costruito per Windows. Entrambe le varianti erano collegate tramite infrastruttura Tor comune e un identificatore di campagna comune.

Indagine

Rapid7 ha ottenuto sia i payload ESXi che Windows e ha condotto un’analisi statica per comprenderne meglio il comportamento. L’analisi ha mostrato che il malware utilizza routine di crittografia personalizzate costruite attorno a ChaCha8 con packaging della chiave RSA-4096, mentre la versione per Windows incorpora anche uno schema di crittografia ibrido Kyber1024 e AES-CTR. Gli investigatori hanno documentato le estensioni dei file mirati, il posizionamento delle note di riscatto, il comportamento di terminazione del servizio e un mutex distintivo legato a un URL Boomplay.

Mitigazione

Le difese raccomandate includono il rafforzamento dell’accesso a ESXi disabilitando SSH dove possibile e imponendo l’autenticazione multifattore, restringendo anche l’accesso alle utilità native come vssadmin, wmic, e reg. Le organizzazioni dovrebbero proteggere i backup tramite l’immutabilità e monitorare attentamente le modifiche ai file di gestione di VMware nonché l’apparizione dell’estensione di file .#~~~ Le ulteriori rilevazioni dovrebbero concentrarsi sul mutex identificato e sui nomi di file specifici delle note di riscatto associati alla campagna.

Risposta

Se viene rilevata l’attività di Kyber, isolare immediatamente il sistema colpito, conservare i campioni di malware e iniziare il recupero utilizzando backup immutabili. I team di sicurezza dovrebbero bloccare l’accesso ai servizi nascosti Tor collegati all’ID della campagna, rimuovere il mutex e eliminare eventuali file di note di riscatto lasciati dal malware. Una revisione forense completa dovrebbe quindi esaminare gli eventi di terminazione del servizio, le modifiche al registro di sistema e l’attività di sistema correlata prima di ricostruire le macchine virtuali o gli host colpiti da immagini pulite.

"graph TB %% Class Definitions classDef action fill:#99ccff classDef tool fill:#cccccc classDef operator fill:#ff9900 %% Nodes u2013 Actions action_initial_access["Azione – T1021.004 Servizi Remoti: SSH L’avversario ottiene accesso iniziale tramite SSH negli host ESXi."] class action_initial_access action action_defacement["Azione – T1564.012 Nascondere Artefatti: Esclusioni del Percorso del File Sostituire /etc/motd e le pagine dell’interfaccia web di VMware con una nota di riscatto."] class action_defacement action action_vm_enum["Azione – T1059.004 Shell Unix Utilizzare esxcli per enumerare le macchine virtuali e terminarle dolcemente."] class action_vm_enum action action_encryption["Azione – T1486 Dati Cifrati per Impatto Cifrare i file del datastore utilizzando ChaCha8 su Linux o AES-CTR con Kyber1024 su Windows."] class action_encryption action action_anti_recovery["Azione – Tecniche Multiple Interrompere i servizi di backup (T1489 Interruzione del Servizio), eliminare le istantanee VSS (T1485 Distruzione dei Dati), disabilitare l’ambiente di recupero (T1490 Inibire il Recupero del Sistema), indebolire le difese (T1562)."] class action_anti_recovery action action_cleanup["Azione – T1070.001 Rimozione Indicatore: Pulisci i Log degli Eventi di Windows Cancellare i registri degli eventi di Windows e rimuovere artefatti di esecuzione."] class action_cleanup action %% Nodes u2013 Tools tool_ssh["Strumento – Nome: SSH Descrizione: Protocollo shell sicuro per esecuzione remota dei comandi."] class tool_ssh tool tool_esxcli["Strumento – Nome: esxcli Descrizione: Utilità della riga di comando ESXi per la gestione dell’host e delle VM."] class tool_esxcli tool tool_encryptor["Strumento – Nome: Cifratura Personalizzata Descrizione: Implementa ChaCha8 e AES-CTR con Kyber1024 per crittografare i file."] class tool_encryptor tool %% Flow Connections action_initial_access –>|uses| tool_ssh action_initial_access –>|leads_to| action_defacement action_defacement –>|uses| tool_ssh action_defacement –>|leads_to| action_vm_enum action_vm_enum –>|uses| tool_esxcli action_vm_enum –>|leads_to| action_encryption action_encryption –>|uses| tool_encryptor action_encryption –>|leads_to| action_anti_recovery action_anti_recovery –>|leads_to| action_cleanup "

Flusso di Attacco

Narrativa dell’attacco e Comandi:
L’attaccante simulato ha ottenuto diritti di amministratore locale sul host compromesso e desidera impedire il recupero del sistema dopo aver crittografato i file. Seguendo il comportamento del ransomware Kyber, l’attaccante enumera prima tutte le Volume Shadow Copies esistenti tramite WMI e le elimina ciascuna usando una riga di comando PowerShell. Come ripiego (o per garantire la completezza), l’attaccante esegue anche vssadmin.exe Delete Shadows /all /quiet. Entrambi i comandi generano un campo CommandLine che corrisponde esattamente alla regola Sigma, causando un avviso.

Script di Test di Regressione:

# ----------------------------------------------
# Simulazione anti-recupero stile Kyber
# ----------------------------------------------

# 1. Eliminazione VSS di PowerShell (corrispondenza esatta)
$psCmd = 'powershell -ep bypass -nop -c "Get-WmiObject -Class Win32_ShadowCopy | ForEach-Object { $_.Delete() }"'
Write-Host "Esecuzione eliminazione VSS di PowerShell..."
Invoke-Expression $psCmd

# 2. Eliminazione vssadmin (corrispondenza esatta)
$vssCmd = 'vssadmin.exe Delete Shadows /all /quiet'
Write-Host "Esecuzione eliminazione vssadmin..."
& $vssCmd

Write-Host "Simulazione completata."

Comandi di Pulizia:

# Nessun artefatto persistente creato da questo script.
# Reimposta la policy di esecuzione di PowerShell al suo stato originale se modificata:
Set-ExecutionPolicy -Scope Process -ExecutionPolicy Restricted -Force
Write-Host "Pulizia terminata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis