Гиперджекинг

Гиперджекинг заключается во внедрении вредоносного, поддельного гипервизора, способного управлять всей системой сервера. Обычные меры безопасности оказываются неэффективны, поскольку операционная система не обнаруживает факт взлома устройства. При гиперджекинге гипервизор функционирует в скрытом режиме «под» основной системой, что затрудняет его обнаружение и увеличивает вероятность получения доступа к вычислительным серверам, влияя на работу всей организации или компании. После получения доступа ко всем компонентам сервера, злоумышленник может контролировать любое подключённое к нему устройство^[2]. Гипервизор представляет собой единую точку отказа в обеспечении конфиденциальности и защиты чувствительных данных^[3].

Для успешной реализации гиперджекинга злоумышленник может получить контроль над гипервизором несколькими способами^[4]:

• Внедрение вредоносного гипервизора под исходный гипервизор;
• Захват контроля непосредственно над исходным гипервизором;
• Запуск вредоносного гипервизора поверх существующего гипервизора.

Некоторые базовые элементы организации виртуальной среды позволяют снизить риск гиперджекинга:

• Управление безопасностью гипервизора должно осуществляться раздельно от основного сетевого трафика. Это относится скорее к сетевым мерам, чем к самому гипервизору^[1].
• Гостевые операционные системы не должны иметь доступа к гипервизору. Инструменты управления не должны устанавливаться или запускаться из гостевой ОС^[1].
• Регулярное обновление и патчинг гипервизора^[1].

На начало 2015 года не было зафиксировано фактов успешных демонстраций гиперджекинга, за исключением тестов «proof of concept». Уязвимость VENOM(), обнаруженная в мае 2015 года, потенциально ставила под угрозу безопасность множества дата-центров^[5]. Гиперджекинг является редким явлением из-за сложности прямого доступа к гипервизорам, однако рассматривается специалистами как реальная угроза^[6].

29 сентября 2022 года компании Mandiant и VMware совместно объявили о выявленных случаях успешных атак гиперджекинга с использованием вредоносного ПО в реальных условиях^[7], которые затронули несколько целевых систем и были частью предполагаемой шпионской кампании^[8][9]. В ответ компания Mandiant опубликовала руководство по обеспечению защищённости среды гипервизора VMware ESXi с рекомендациями по повышению её безопасности^[10].