ESXiArgs-Recover

ESXiArgs-Recover هي أداة تتيح للمؤسسات محاولة استرداد الأجهزة الافتراضية المتأثرة بهجمات برمجية الفدية ESXiArgs.

تدرك CISA أن بعض المؤسسات أبلغت عن نجاحها في استرداد الملفات دون دفع فديات. قامت CISA بتجميع هذه الأداة بناءً على موارد متاحة للعموم، بما في ذلك برنامج تعليمي من إعداد Enes Sonmez وAhmet Aykac. تعمل هذه الأداة عن طريق إعادة بناء البيانات الوصفية للأجهزة الافتراضية من الأقراص الافتراضية التي لم تقم البرمجية الخبيثة بتشفيرها. لمزيد من المعلومات، راجع إرشادات CISA لاسترداد الأجهزة الافتراضية من برمجية الفدية ESXiArgs.

إخلاء المسؤولية

يعتمد سكربت CISA الخاص بـ ESXiArgs على النتائج التي نشرها الباحثون المذكورون أعلاه من جهات خارجية. يجب على أي مؤسسة تسعى إلى استخدام سكربت الاسترداد الخاص بـ CISA لـ ESXiArgs مراجعة السكربت بعناية لتحديد ما إذا كان مناسبًا لبيئتها قبل نشره. لا يسعى هذا السكربت إلى حذف ملفات الإعدادات المشفرة، بل يسعى بدلاً من ذلك إلى إنشاء ملفات إعدادات جديدة تتيح الوصول إلى الأجهزة الافتراضية. بينما تعمل CISA على ضمان أن السكربتات مثل هذا السكربت آمنة وفعالة، فإن هذا السكربت يُسلَّم دون أي ضمان، سواء كان ضمنيًا أو صريحًا. لا تستخدم هذا السكربت دون فهم كيفية تأثيره على نظامك. لا تتحمل CISA أي مسؤولية عن الأضرار الناجمة عن هذا السكربت.

يُقدَّم هذا السكربت «كما هو» لأغراض إعلامية فقط. لا تؤيد CISA أي منتج أو خدمة تجارية، بما في ذلك أي موضوعات للتحليل. أي إشارة إلى منتجات أو عمليات أو خدمات تجارية محددة بواسطة علامة خدمة أو علامة تجارية أو جهة تصنيع أو غير ذلك، لا تشكل أو توحي بتأييد أو توصية أو تفضيل من جانب CISA.

الاستخدام

1. نزّل هذا السكربت واحفظه باسم /tmp/recover.sh. على سبيل المثال، باستخدام wget: wget -O /tmp/recover.sh https://raw.githubusercontent.com/cisagov/ESXiArgs-Recover/main/recover.sh
2. امنح السكربت صلاحيات التنفيذ: chmod +x /tmp/recover.sh
3. انتقل إلى مجلد الجهاز الافتراضي الذي ترغب في فك تشفيره (يمكنك تصفح هذه المجلدات عن طريق تشغيل ls /vmfs/volumes/datastore1). على سبيل المثال، إذا كان المجلد يُسمى example، فشغّل cd /vmfs/volumes/datastore1/example
4. شغّل ls لعرض الملفات. لاحظ اسم الجهاز الافتراضي (على سبيل المثال، إذا كان هناك ملف example.vmdk، فإن اسم الجهاز الافتراضي هو example).
5. شغّل سكربت الاسترداد باستخدام /tmp/recover.sh [name]، حيث [name] هو اسم الجهاز الافتراضي الذي حددته في الخطوة 4. إذا كان الجهاز الافتراضي بتنسيق رفيع (thin)، فشغّل /tmp/recover.sh [name] thin.
6. في حال النجاح، سيُخرج سكربت فك التشفير رسالة تفيد بأنه تم تشغيله بنجاح. وفي حال عدم النجاح، فقد يعني ذلك أن أجهزتك الافتراضية لا يمكن استردادها.
7. إذا نجح السكربت، فإن الخطوة الأخيرة هي إعادة تسجيل الجهاز الافتراضي.
8. إذا كانت واجهة الويب الخاصة بـ ESXi غير قابلة للوصول، فاتبع الخطوات التالية لإزالة رسالة الفدية واستعادة الوصول (لاحظ أن اتخاذ الخطوات أدناه ينقل رسالة الفدية إلى الملف ransom.html. ضع في اعتبارك أرشفة هذا الملف لمراجعة الحادث في المستقبل).
   • شغّل cd /usr/lib/vmware/hostd/docroot/ui/ && mv index.html ransom.html && mv index1.html index.html
   • شغّل cd /usr/lib/vmware/hostd/docroot && mv index.html ransom.html && rm index.html & mv index1.html index.html
   • أعد تشغيل خادم ESXi (على سبيل المثال، باستخدام الأمر reboot). بعد بضع دقائق، يجب أن تتمكن من الانتقال إلى واجهة الويب.
9. في واجهة الويب الخاصة بـ ESXi، انتقل إلى صفحة الأجهزة الافتراضية (Virtual Machines).
10. إذا كان الجهاز الافتراضي الذي استعدته موجودًا بالفعل، فانقر بزر الماوس الأيمن على الجهاز الافتراضي وحدد «إلغاء التسجيل» (Unregister).
11. حدد «إنشاء / تسجيل جهاز افتراضي» (Create / Register VM).
12. حدد «تسجيل جهاز افتراضي موجود» (Register an existing virtual machine).
13. انقر على «تحديد جهاز افتراضي واحد أو أكثر، أو مخزن بيانات، أو دليل» (Select one or more virtual machines, a datastore or a directory) للانتقال إلى مجلد الجهاز الافتراضي الذي استعدته. حدد ملف vmx في المجلد.
14. حدد «التالي» (Next) ثم «إنهاء» (Finish). يجب أن تتمكن الآن من استخدام الجهاز الافتراضي بشكل طبيعي.

عند الحاجة، سيحفظ السكربت الملفات المشفرة في مجلد جديد باسم encrypted_files داخل دليل كل جهاز افتراضي.

المساهمة

المساهمات مرحب بها دائمًا! انتقل إلى هنا لتقديم طلب سحب (pull request) أو قدّم مشكلة (issue) من هنا.

الملكية العامة

هذا المشروع في المجال العام في جميع أنحاء العالم.

هذا المشروع في المجال العام داخل الولايات المتحدة، ويتم التنازل عن حقوق النشر والحقوق ذات الصلة في العمل في جميع أنحاء العالم من خلال إهداء المجال العام CC0 1.0 Universal.

سيتم إصدار جميع المساهمات في هذا المشروع بموجب إهداء CC0. من خلال تقديم طلب سحب، فأنت توافق على الامتثال لهذا التنازل عن حقوق النشر.