VM-вендоры не умеют детектировать уязвимости, которые эксплуатируются шифровальщиками. Прочитал отчёт "Index Update Q1 2023 RANSOMWARE Through the Lens of Threat and Vul­ner­a­bil­i­ty Man­age­ment" по данным Securin и Ivan­ti. Товарищи анализируют информацию об уязвимостях, которые используются 356 шифровальщиками.

В отчёте утверждается, что есть 18 уязвимостей, эксплуатируемых шифровальщиками, которые не детектируются сканерами уязвимостей ТОПовых VM-вендоров (Ten­able, Rapid7 и Qualys):

CVE-2010–1592
CVE-2012–3347
CVE-2013–0322
CVE-2013–2618
CVE-2013–3993
CVE-2015–2551
CVE-2015–7465
CVE-2017–15302
CVE-2017–18362
CVE-2017–3197
CVE-2017–3198
CVE-2017–6884
CVE-2019–16647
CVE-2019–16920
CVE-2019–5039
CVE-2019–9081
CVE-2020–36195
CVE-2021–33558

Эти уязвимости эксплуатируются 59 группировками шифровальщиков, среди которых Hive, Qlock­er, QNAPCrypt и UEFI.

От меня: когда я призываю к открытости баз знаний VM-вендоров, я имею ввиду именно это. Любой VM-вендор умеет детектировать только часть из всех известных уязвимостей. Кто может сказать, что тех уязвимостей, которые он умеет детектировать, достаточно и в его слепой зоне точно нет ничего критичного? Вот имеем пример, когда исследователи, получив доступ к базам знаний (детектов) VM-вендоров, подтвердили проблему с полнотой. И это мы берём самый-самый топ критичных уязвимостей и самых крутых международных VM-вендоров.

Разумеется, сравнение по детектируемым CVE идентификаторам это далеко не идеальный способ обнаружить проблемы с полнотой, но это простой способ и какое-то представление он даёт. Поэтому, призываю всех пушить отечественных VM-вендоров, чтобы информация о детектируемых уязвимостях была публичной и общедоступной для стороннего анализа. Ну или хотя бы доступной регуляторам, чтобы регуляторы сами контролировали адекватность баз знаний (детектов) VM-вендоров.

В отчёте также есть критика CVSS, NVD и CISA KEV из-за некорректного учёта эксплуатируемых шифровальщиками CVE:

• 30% CVE не имеют CVSS v2 или v3 в NVD
• 2 CVE имеют sever­i­ty Low, 57 Medi­um в NVD
• 2 CVE находятся в статусе Reject­ed в NVD (CVE-2015–2551 и CVE-2019–9081)
• только 68% CVE содержатся в CISA KEV, требуется добавить ещё 131