ESXiArgs-Recover

ESXiArgs-Recover は、ESXiArgs ランサムウェア攻撃の影響を受けた仮想マシンの復旧を組織が試みることを可能にするツールです。

CISA は、一部の組織が身代金を支払わずにファイルの復旧に成功したと報告していることを把握しています。CISA は、Enes Sonmez 氏と Ahmet Aykac 氏によるチュートリアルを含む公開リソースに基づいてこのツールをまとめました。このツールは、マルウェアによって暗号化されなかった仮想ディスクから仮想マシンのメタデータを再構築することで機能します。詳細については、CISA の ESXiArgs Ransomware Virtual Machine Recovery Guidance を参照してください。

免責事項

CISA の ESXiArgs スクリプトは、前述の第三者研究者によって公表された調査結果に基づいています。CISA の ESXiArgs 復旧スクリプトの使用を検討している組織は、展開する前にスクリプトを慎重にレビューし、自社の環境に適しているかどうかを判断する必要があります。このスクリプトは、暗号化された設定ファイルを削除するものではなく、VM へのアクセスを可能にする新しい設定ファイルを作成しようとするものです。CISA はこのようなスクリプトが安全かつ効果的であるよう努めていますが、このスクリプトは明示的または黙示的な保証なしに提供されます。このスクリプトがシステムにどのような影響を与えるかを理解せずに使用しないでください。CISA は、このスクリプトによって引き起こされた損害について責任を負いません。

このスクリプトは、情報提供のみを目的として「現状のまま」提供されます。CISA は、分析の対象となるものを含め、いかなる商用製品またはサービスも推奨するものではありません。サービスマーク、商標、製造業者名などによる特定の商用製品、プロセス、またはサービスへの言及は、CISA による是認、推奨、または支持を構成するものではなく、また暗示するものでもありません。

使用方法

1. このスクリプトをダウンロードし、/tmp/recover.sh として保存します。例: wget を使用する場合: wget -O /tmp/recover.sh https://raw.githubusercontent.com/cisagov/ESXiArgs-Recover/main/recover.sh
2. スクリプトに実行権限を付与します: chmod +x /tmp/recover.sh
3. 復号化したい仮想マシンのフォルダーに移動します（ls /vmfs/volumes/datastore1 を実行すると、これらのフォルダーを参照できます）。たとえば、フォルダー名が example の場合は、cd /vmfs/volumes/datastore1/example を実行します。
4. ls を実行してファイルを表示します。VM の名前を確認します（例: example.vmdk というファイルがある場合、VM の名前は example です）。
5. /tmp/recover.sh [name] で復旧スクリプトを実行します。ここで [name] は手順 4 で確認した仮想マシンの名前です。仮想マシンがシンプロビジョニング形式の場合は、/tmp/recover.sh [name] thin を実行します。
6. 成功した場合、復号化スクリプトは正常に実行されたことを出力します。失敗した場合、仮想マシンを復旧できない可能性があります。
7. スクリプトが成功した場合、最後のステップは仮想マシンを再登録することです。
8. ESXi Web インターフェースにアクセスできない場合は、次の手順を実行して身代金メモを削除し、アクセスを復元します（以下の手順を実行すると、身代金メモが ransom.html ファイルに移動されることに注意してください。将来のインシデントレビューのためにこのファイルをアーカイブすることを検討してください）。
   • cd /usr/lib/vmware/hostd/docroot/ui/ && mv index.html ransom.html && mv index1.html index.html を実行します。
   • cd /usr/lib/vmware/hostd/docroot && mv index.html ransom.html && rm index.html & mv index1.html index.html を実行します。
   • ESXi サーバーを再起動します（例: reboot コマンドを使用）。数分後、Web インターフェースにアクセスできるようになります。
9. ESXi Web インターフェースで、[仮想マシン] ページに移動します。
10. 復元した VM がすでに存在する場合は、VM を右クリックして [登録解除] を選択します。
11. [作成 / 登録] を選択します。
12. [既存の仮想マシンを登録] を選択します。
13. [1 つ以上の仮想マシン、データストア、またはディレクトリを選択] をクリックして、復元した VM のフォルダーに移動します。フォルダー内の vmx ファイルを選択します。
14. [次へ] を選択し、[完了] を選択します。これで VM を通常どおり使用できるようになります。

必要に応じて、スクリプトは各仮想マシンのディレクトリ内の新しい encrypted_files フォルダーに暗号化されたファイルを保存します。

貢献

貢献はいつでも歓迎します! プルリクエストを送信するにはここに移動するか、ここで問題を報告してください。

パブリックドメイン

このプロジェクトは世界中のパブリックドメインにあります。

このプロジェクトは米国ではパブリックドメインにあり、世界中の著作権および関連する権利は CC0 1.0 Universal パブリックドメイン宣言を通じて放棄されています。

このプロジェクトへのすべての貢献は、CC0 宣言のもとでリリースされます。プルリクエストを送信することにより、この著作権放棄に同意したものとみなされます。