El producto VMWare ESXi tiene una vulnerabilidad la cual
permite tomar control de las máquinas virtuales y cifrar los discos duros
virtuales de dichas máquinas, vulnerabilidad la cual por el momento está siendo
abusada por una banda de ransomware famosa.
La banda de ransomware que se atribuye a estos ataques es a
los creadores de RansomExx, siendo los primeros ataques en octubre del año
pasado.
Según los investigadores los atacantes utilizaron las
vulnerabilidades conocidas como CVE-2019-5544 y CVE-2020-3992, siendo las dos
vulnerabilidades errores que afectan al Service Location Protocol (SLP), protocolo
el cual se utiliza por los dispositivos de la misma red para descubrirse entre
ellos, el cual está incluido también en ESXi. Las vulnerabilidades permiten
enviar solicitudes SLP maliciosas en la misma red a un dispositivo ESXi y tomar
control de la máquina virtual, incluso si el atacante no ha conseguido comprometer
el servidor VMWare vCenter donde suelen informar las instancias ESXi.
Los ataques que realizaron la banda RansomExx conseguían obtener
acceso a un dispositivo en una red corporativa y abusar de las vulnerabilidades
de ESXi para atacar y cirfar los discos duros virtuales, utilizados para almacenar
datos entre máquinas virtuales.
Los informes referentes a estos ataques son documentados en
Reddit, Twitter y fueron presentados en una conferencia de seguridad. Por el
momento solo se ha visto a la pandilla de RansomExx (conocida también como
Defray777) abusando de la vulnerabilidad, aunque en una actualización del mes pasado
The Babuk Locker ransomware operator announced a similar feature, although
so far no successful attack has been confirmed.
The threat intelligence firm KELA has observed how in
various underground cybercrime forums the sale of access
to ESXi instances has appeared.