Crisis（又稱 Morcut）於 7 月下旬出現，初感染 Mac OSX，新變種擴展至 VMware 虛擬機與 Windows Mobile。安全研究員揭示其獨特感染機制：不走網絡傳播，而是直接修改宿主機 VMDK 文件感染虛擬機，繞過傳統網絡防禦。
虛擬化架構決定攻擊面
第一類 Hypervisor（裸金屬）：ESXi、XenServer、Hyper-V
直接運行於硬體，無宿主作業系統。不受 Crisis 感染，目前無已知惡意代碼能感染此類 Hypervisor。
第二類 Hypervisor（寄宿式）：VMware Workstation/Player、VirtualBox、Parallels
運行於 Windows/Linux/Mac 宿主作業系統之上。Crisis 感染路徑：
1️⃣ 宿主機感染（Windows/Mac 已知漏洞利用）
2️⃣ 掃描尋找 VMDK 虛擬磁盤文件
3️⃣ 調用 VMware 工具掛載 VMDK，注入惡意代碼
4️⃣ 虛擬機啟動時惡意代碼隨系統載入執行
關鍵特徵：底層感染與持久化
- 主動尋找虛擬機：掃描磁盤定位 VMDK，非被動等待
- 離線感染：虛擬機關機狀態下即可被感染，無需網絡連通
- 遷移不解毒：受感染 VMDK 遷移至 ESXi 仍攜帶惡意代碼，但受限於虛擬機隔離，難橫向擴散
防禦與應對策略
✅ 短期行動
- 宿主機全盤掃描清除，更新防毒特征庫
- 檢測所有 VMDK 完整性（哈希對比、異常文件掃描）
- 隔離可疑虛擬機，重建乾淨快照替換
🛡️ 長期建設
- 虛擬機同樣需修補漏洞、部署端點防護、實施最小權限
- 部署虛擬化感知安全方案：vShield、NSX 分布式防火牆、微隔離
- 建立黃金映像庫，嚴格映像生命週期管理
- 宿主機強化：應用控制、UEFI Secure Boot、可信啟動
Crisis 揭示：虛擬機非天然安全隔離區。虛擬化安全需「宿主機+Hypervisor+虛擬機+網絡」全棧防護，而非單點投入。