Migliaia di server di computer sono stati presi di mira da un attacco di hacking ransomware globale che ha preso di mira i server ESXi VMware (VMW.N).
ESXi è l'hypervisor di VMware, una tecnologia che consente alle organizzazioni di ospitare diversi computer virtualizzati che eseguono più sistemi operativi su un singolo server fisico.
Il Computer Emergency Response Team of France (CERT-FR) è stato il primo a notare e inviare un avviso sull’attacco. Anche la National Cybersecurity Agency (ACN) italiana e la Cyber Security Agency di Singapore hanno emesso avvisi affinché le organizzazioni agissero immediatamente per proteggere i propri sistemi.
In particolare, questo arriva subito dopo la pubblicazione di un rapporto sul gruppo Nevada Ransomware scoperto da Resecurity la scorsa settimana, che ha rilasciato un locker modificato che supporta anche ESXi.
Anche il cloud provider francese OVHcloud ha pubblicato un rapporto che collega questa massiccia ondata di attacchi contro i server VMware ESXi all'operazione del ransomware del Nevada: "
Secondo gli esperti dell'ecosistema e le autorità, potrebbero essere correlati al ransomware del Nevada e utilizzare CVE-2021 -21974. Le indagini sono ancora in corso per confermare tali ipotesi", ha dichiarato Julien Levrard, CISO di OVHcloud. "
L'attacco prende di mira principalmente i server ESXi nelle versioni precedenti alla 7.0 U3i, apparentemente attraverso la porta OpenSLP (427)."L'attacco sfrutta una vulnerabilità heap-overflow in VMware ESXi ed è tracciato come CVE-2021-21974 che è stato corretto nel febbraio 2021.
La vulnerabilità interessa il servizio Service Location Protocol e consente a un utente malintenzionato di sfruttare in remoto codice arbitrario. VMware ha designato la vulnerabilità come "critica", il che significa che potrebbe essere utilizzata dagli aggressori per eseguire in remoto qualsiasi codice desiderato su un sistema vulnerabile e assumerne il pieno controllo.
