T1505.006: vSphere 安装包 (VIB)

摘要

攻击者可能滥用 vSphere 安装包 (VIB) 来建立对 ESXi 管理程序的持久访问。VIB 是在 VMware 环境中用于软件分发和虚拟系统管理的文件集合。由于 ESXi 使用内存文件系统，对大多数文件的更改存储在 RAM 中而非持久存储中，因此这些修改在重启后会丢失。然而，VIB 可用于创建启动任务、应用自定义防火墙规则，或部署在重启后仍持久存在的二进制文件。通常，管理员使用 VIB 进行更新和系统维护。 VIB 可以分解为三个组件：(Citation: VMware VIBs) * VIB 载荷：一个 `.vgz` 归档，包含在加载 VIB 时要在启动时创建和执行的目录和文件。 * 签名文件：验证 VIB 的主机接受级别，表明 VMware 或其合作伙伴在发布 VIB 之前进行了哪些测试和验证。默认情况下，ESXi 主机要求 VIB 安装的最低接受级别为 PartnerSupported，意味着该 VIB 由受信任的 VMware 合作伙伴发布。然而，特权用户可以使用 `esxcli` 命令行界面更改默认接受级别。此外，通过使用 <code> esxcli software vib install --force</code> 命令，无论接受级别如何都可以安装 VIB。 * XML 描述文件：包含相关 VIB 元数据（例如 VIB 的名称及其依赖项）的配置文件。 攻击者可能利用恶意 VIB 包维持对 ESXi 管理程序的持久访问，允许在每次 ESXi 启动时执行系统更改——例如使用 `esxcli` 为后门流量启用防火墙规则、在硬编码端口上创建监听器，以及执行后门。(Citation: Google Cloud Threat Intelligence ESXi VIBs 2022) 攻击者还可能通过修改 XML 描述文件，将其恶意 VIB 文件伪装为 PartnerSupported。(Citation: Google Cloud Threat Intelligence ESXi VIBs 2022)