fastfire/ioc_attack_esxi_feb_20232023年2月3日（金）時点で発生したESXiインフラへの攻撃に関連する、利用可能なIoCのコレクション。
2023年2月3日（金）時点で発生したESXiインフラストラクチャへの攻撃に関連する、利用可能なIoCのコレクションです。
ニュース
この攻撃に関する参考情報は以下のとおりです。
https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-015/
https://blog.ovhcloud.com/ransomware-targeting-vmware-esxi/
システムの復旧
侵害されたサーバーの復旧を進めるための、非常に有用な情報がいくつかあります。
CISAは、ESXiArgsランサムウェアの被害に遭った組織向けの復旧スクリプトを公開しました。
このスクリプトは、ランサムウェアの最初のバージョンでのみ使用可能です。Bleeping Computerの記事（https://www.bleepingcomputer.com/news/security/new-esxiargs-ransomware-version-prevents-vmware-esxi-recovery/）で示されているとおり、ランサムウェアの2番目のバージョンでは、設定ファイルに加えて、データの大部分も暗号化されます。
支払いの追跡
侵害された一部のインスタンス（すべてではありませんが、おそらく脅威アクター自身によって侵害されたもの）のリストを抽出するスクリプト。このスクリプトは、身代金の支払い先として示されたBitcoinウォレットのリストも抽出します。これは、他の場所で既に使用されているウォレットとの照合に役立ちます。
https://gist.github.com/achillean/33fe43afc36208a595e75200cb7abe97
侵害範囲
ShodanおよびCensys内で以下のクエリを使用すると、侵害範囲の全体像を把握できます。
Shodan（2月6日時点で837の侵害ホスト）： https://beta.shodan.io/search?query=html%3A%22We+hacked+your+company+successfully%22+title%3A%22How+to+Restore+Your+Files%22
Censys（2月6日時点で3276の侵害ホスト）： https://search.censys.io/search?resource=hosts&sort=RELEVANCE&per_page=25&virtual_hosts=EXCLUDE&q=services.http.response.body%3A+%22How+to+Restore+Your+Files%22+and+services.http.response.html_title%3A%22How+to+Restore+Your+Files%22
ZoomEye： https://www.zoomeye.org/searchResult?q=yytf6btdhrikgywd6aluwbafjgm5oj3pan2lg3czvhs34obs3brid7ad
暗号化スクリプト
2月8日以降、新しい攻撃キャンペーンが開始されたようで、攻撃者が公開した身代金メモは以前のものとは少し異なります。新しい身代金メモを特定するためのクエリは以下のとおりです。
リンク https://www.bleepingcomputer.com/forums/t/782193/esxi-ransomware-help-and-support-topic-esxiargs-args-extension/page-14#entry5470686 では、脅威アクターがシステムの暗号化に使用したスクリプトが共有されました。
完全なスクリプト https://pastebin.com/y6wS2BXh
スクリプト + 暗号化バイナリ https://we.tl/t-QMYhnF5evE
