cisagov/esxiargs-recoverA tool to recover from ESXiArgs ransomware
ESXiArgs-Recover è uno strumento che consente alle organizzazioni di tentare il recupero delle macchine virtuali colpite dagli attacchi ransomware ESXiArgs.
La CISA è a conoscenza del fatto che alcune organizzazioni hanno riportato successi nel recuperare i file senza pagare i riscatti. La CISA ha realizzato questo strumento sulla base di risorse disponibili pubblicamente, incluso un tutorial di Enes Sonmez e Ahmet Aykac. Questo strumento funziona ricostruendo i metadati delle macchine virtuali a partire dai dischi virtuali che non sono stati criptati dal malware. Per maggiori informazioni, consultare la Guida al recupero delle macchine virtuali colpite dal ransomware ESXiArgs della CISA.
Lo script ESXiArgs della CISA si basa sui risultati pubblicati dai ricercatori terzi menzionati in precedenza. Qualsiasi organizzazione che intenda utilizzare lo script di recupero ESXiArgs della CISA dovrebbe esaminarlo attentamente per determinare se sia appropriato per il proprio ambiente prima di distribuirlo. Questo script non cerca di eliminare i file di configurazione criptati, ma piuttosto di creare nuovi file di configurazione che consentano l'accesso alle VM. Sebbene la CISA si adoperi per garantire che script come questo siano sicuri ed efficaci, questo script viene fornito senza garanzia, implicita o esplicita. Non utilizzare questo script senza comprendere come potrebbe influire sul proprio sistema. La CISA non si assume alcuna responsabilità per i danni causati da questo script.
Questo script viene fornito “così com'è” esclusivamente a scopo informativo. La CISA non approva alcun prodotto o servizio commerciale, inclusi gli oggetti di analisi. Qualsiasi riferimento a specifici prodotti, processi o servizi commerciali tramite marchio di servizio, marchio registrato, produttore o altro, non costituisce né implica approvazione, raccomandazione o preferenza da parte della CISA.
/tmp/recover.sh. Ad esempio, con wget: wget -O /tmp/recover.sh https://raw.githubusercontent.com/cisagov/ESXiArgs-Recover/main/recover.shchmod +x /tmp/recover.shls /vmfs/volumes/datastore1). Ad esempio, se la cartella si chiama example, eseguire cd /vmfs/volumes/datastore1/examplels per visualizzare i file. Annotare il nome della VM (ad es. se esiste un file example.vmdk, il nome della VM è example)./tmp/recover.sh [nome], dove [nome] è il nome della macchina virtuale determinato al passaggio 4. Se la macchina virtuale è in formato thin, eseguire .Se necessario, lo script salverà i file criptati in una nuova cartella encrypted_files all'interno della directory di ciascuna macchina virtuale.
I contributi sono sempre benvenuti! Navigare qui per inviare una pull request o segnalare un problema qui.
Questo progetto è nel pubblico dominio mondiale.
Questo progetto è nel pubblico dominio negli Stati Uniti e i diritti d'autore e i diritti connessi sull'opera in tutto il mondo sono derogati tramite la dedicazione al pubblico dominio universale CC0 1.0.
Tutti i contributi a questo progetto saranno rilasciati sotto la dedicazione CC0. Inviando una pull request, accetti di conformarti a questa rinuncia ai diritti d'autore.
/tmp/recover.sh [nome] thinransom.html. Considerare l'archiviazione di questo file per una futura revisione dell'incidente).
cd /usr/lib/vmware/hostd/docroot/ui/ && mv index.html ransom.html && mv index1.html index.htmlcd /usr/lib/vmware/hostd/docroot && mv index.html ransom.html && rm index.html & mv index1.html index.htmlreboot). Dopo alcuni minuti, si dovrebbe essere in grado di accedere all'interfaccia web.