VMWare最新勒索事件“态势感知”

在《再聊“绝对”与“相对”》一文开头里就提到了我对一些物理学上的名称概念就属于“望文生义”基于文字本身的语言去理解的，比如“相对论”我就对“相对”理解是这样，我也曾多次用到《三体》里的一些概念“降维打击”啥的也是这样，实际上我必须承认在今年三体电视剧之前我是没看过《三体》书籍的。而今天要聊的也是“态势感知”这个词。

“态势感知”是网络安全领域（最起码在大天朝）算一个非常有代表性的、非常典型的众多“概念”，当然了这种“概念”非常多，主要来源于以Gartner等，按我的理解这都是大天朝网络安全发展阶段决定的。换句话说，我们需要这种“概念”去冲击网络安全行业。

值得一提是在2016年4月19日，总书记在网络安全与信息化工作座谈会上的讲话：

网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。要树立正确的网络安全观，加快构建关键信息基础设施安全保障体系，全天候全方位感知网络安全态势，增强网络安全防御能力和威慑能力。

这里就提到的“感知网络安全态势”被认为是“态势感知”，于是一时之下全都是“态势感知”相关产品，随着各家不断加入，于是就出现了“内卷”，把这个概念局限在某个场景下，并最终都使用了“地图炮”的“炫酷”的展示形式，于是就开始出现一些“吐槽”，被认为“地图炮”里“打来打去”只能“忽悠”领导，而对一线工作没有太大的“实际意义” ...

其实我是不赞同这种说法的，我们公司应该算是比较早（可能是国内最早）使用“地图炮”的，在我个人看上面吐槽的「“忽悠”领导」反而就是“地图炮”最重要的意义，因为看见安全是非常非常难的（参考《漫画与安全》），至于吐槽“实际意义”这个其实跟“地图炮”无关 ... 

但现实中确实存在很多“形式主义”的“地图炮”，很多时候这种内卷都是市场决定的，不是“真安全”需求驱动，这种就导致了上面提到的各种“概念”横飞是一样的，因为那些人可能在意的根本就不是真正解决安全问题，而是一种怎么把概念转化的商业的市场行为！当然我这里不是说两者就是对立矛盾的，我们需要去用真正的安全需求去引导市场时候，才能看到网络安全这个行业的未来！

网络安全行业的发展需要有情怀的企业家及从业者！

我理解的“态势感知”

既然是“望文生义”那么我们来个“说文解字”了：“态”、“势”、“感”、“知”，“态”可以理解为事物的某个时间维度下的一种状态，这个状态在网络空间里可以体现的就是数据，“势”可以理解为一种趋势，比如我们把“态”理解为时间点的数据，那么“势”就是一种时空下的数据变化趋势，“感”可以理解为我们要去分析理解这种时间及空间维度下数据及趋势，“知”就是知识、智慧，通过对数据处理分析最终得到一种知识 ...

看到这里可能有一些经常看我文章的人会有种“似曾相识”的感觉，在《谈谈网络空间“行为测绘”》一文中开头提到的“数据-->知识-->智慧-->决策”链是一致的，当然最后关联到就是我在2019年KCon上提的两个核心：“一是，获取更多的数据。二是，赋予数据灵魂。”，当然在我提到的“动态测绘”里强调了数据的“时间”及“空间”维度等等

这些归根结底就在于对“数据”的理解上，在网络空间测绘这个可以理解为全网的态势感知，而在网络安全行业里还有不少是针对某个甲方本身网络安全的“态势感知”，这个才更具体“韭菜”的市场需求。

我们在全网络空间这个维度做了不少的“态势感知”，比如《ZoomEye针对俄乌冲突的战场态势持续感知》，再比如针对突发的恶意事件感知 《ZoomEye测绘视角下的宝塔“0day”事件》，当然这类事情历史上很多，我们404实验室之前发布过不少“预警”，这里就不一一提了。

VMWare最新勒索事件

这个事件在外网的关注度是非常高的，在国内直到今天才看到陆续一些翻译的科技新闻媒体文发布，国内关注度更多的还在讨论“强哥吃鱼”的事情。可能国内最早关注的就是我们在2月4日发布的一条预警：

【知道创宇404实验室】根据ZoomEye测绘引擎最新态势感知，一个针对VMware设备的勒索攻击正在扩散，知道创宇404实验室提醒您注意安全！https://www.zoomeye.org/searchResult?q=%22How%20to%20Restore%20Your%20Files%22

这几天的数据还一种在变化增涨：

随即我们也做了一些分析，很显然这个是针对VMWare ESXi设备，从被攻击目标涉及的ESXi版本信息关联到一个2年前的漏洞CVE-2021-21974，这个漏洞在我们知道创宇404实验室2021年5月25日应急处理过

注：这个2020年是当时写错了，应该是2021

没想到时至今日被用来作为勒索攻击的武器。这个例子告诉我们不用轻视一个1day/nday的威力！

当然我发现还有一些比较有意思的情况，从ZoomEye的测绘情况来看，搜索"How to Restore Your Files"这个关键词居然还找到了2022年及2021年的数据，也就是这个可能不算是“最新”的，我们具体看看

2021年的数据就1条：

是个ftp服务器，里面有个文件名HOW TO RESTORE YOUR FILES.TXT 从加密的文件后缀来看这个属于Slfyvggi ransomware 

再看看2022年的数据，有22条，简单分析下其中有3条是针对cPanel的，文件名后缀是filenew,关联到的勒索组织：WHM RANSOMWARE

有14条是针对VMWare ESXi的，最早的记录定格在2022-10-18日，被篡改的页面内容如下：

HTTP/1.1 301 Moved Permanently

我们搜索下givemesomebtcplease@proton.me 2023年还有2条数据，最新的数据是在2023-01-19 ns6908718.ip-54-36-48.eu

继续看下2023年的数据,这次针对VMWare ESXi的勒索数据记录在2023-02-03 51.210.112.27

HTTP/1.1 301 Moved Permanently

从这个勒索说明里可以看出，这个跟上面2022年的基本差不多，但是这次好像开始“涨价”了，最早那个是1.095152 btc 涨到了 2.032317 btc，我随即抽查了几个新的，这个价格好像是每个目标都不一样，最新的都在2.0xxxxx,没有超过3.0的 不知道这个xxxx是随机的还是有啥算法估计目标的“价值”不一样变化的，当然收到赎金后的key的方式也变化了，同时也删除了 givemesomebtcplease@proton.me 这个email地址，另外还有一个特点是wallet地址不是固定一个或者几个，应该算是一批，虽然这个可以随意注册，但是对于那么大量的地址操作管理也是需要点精力去搞的。

由此可以见，这次针对VMWare勒索事件，目前最早可以追溯到2022-10-18，这个阶段属于试运营阶段，从2023-02-03开始进入正式运营阶段，赎金价格由最开始的1.0+基数btc涨到了2.0+基数的btc，启用了大量的钱包地址估计是想提升追查溯源的难度。

本次事件影响的国家

从ZoomEye的统计数据来看，主要影响的法国

所以为什么你看到的新闻媒体文上引用的是来自法国cert的报告 https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-015/ 我开始觉得是不是因为法国使用VMWare多导致的，如果是这样可能跟公有云覆盖是有关系的，毕竟现在流行都是Docker及公有云服务，但是通过我才看VMWare的设备使用量来看：

排名最多的是美国及中国然后才是法国，所以从这点看很可能还是法国用户安全意识没有及时升级导致的！

我们再看看中国，数据量整体是非常少的，中国大陆基本上没有（只有1条上海数据），主要是在香港及台湾省。在结合上面看到的中国VMWare设备的整体数量仅次于美国，那为什么没有中招的呢？难道我们大天朝的知名安全意识已经无敌了吗？！或者是存在某个上帝之手阻挡了这一切？！当然这个也想起了一个传奇：中国的绝命毒师刘招华！

最后使用ChatGPT的回复结尾：

>用最文艺的方法表达“数据会说话”，可以把数据比喻为一个艺术品

>>数据，就像是一件珍贵的艺术品，它们蕴含了丰富的信息，如同那些古老的壁画，只需我们用心去揣摩，它们便会将自身的故事呈现在我们面前。