Microsoft a emis o alertă de securitate semnificativă privind o vulnerabilitate în hypervisor-urile VMware ESXi, pe care operatorii de ransomware au exploatat-o activ.
Conform Fundației Shadowserver, vulnerabilitatea, identificată ca CVE-2024-37085, a expus 20.275 de instanțe la data de 30 iulie 2024.
Vulnerabilitatea CVE-2024-37085 este un defect de ocolire a autentificării cu un scor CVSS de 6.8. Afectează în mod specific hypervisor-urile ESXi legate de domeniu, permițând atacatorilor cu permisiuni suficiente în Active Directory (AD) să obțină control administrativ complet asupra hypervisor-ului.
Acest control poate duce la consecințe grave, inclusiv criptarea sistemului de fișiere al hypervisor-ului, întreruperea mașinilor virtuale (VM) găzduite, exfiltrarea datelor și mișcarea laterală în cadrul rețelei.
Cercetătorii Microsoft au observat mai multe grupuri de ransomware exploatând această vulnerabilitate. Aceste grupuri includ Storm-0506, Storm-1175, Octo Tempest și Manatee Tempest. Exploatarea implică de obicei crearea unui grup de domeniu numit „ESX Admins” și adăugarea de utilizatori în acesta, acordându-le astfel privilegii administrative complete pe hypervisor-ul ESXi.
Un atac notabil a implicat distribuirea ransomware-ului Black Basta de către grupul Storm-0506. Atacatorii au obținut acces inițial printr-o infecție Qakbot, urmată de exploatarea unei vulnerabilități Windows CLFS (CVE-2023-28252) pentru a-și eleva privilegiile.
Apoi au folosit instrumente precum Cobalt Strike și Pypykatz pentru a fura credențiale și a se mișca lateral în cadrul rețelei, creând în final grupul „ESX Admins” pentru a exploata vulnerabilitatea ESXi.
Exploatarea CVE-2024-37085 a dus la perturbări semnificative în organizațiile afectate. Operatorii de ransomware pot cripta sistemul de fișiere al hypervisor-ului obținând acces administrativ complet la hypervisor-urile ESXi, făcând astfel mașinile virtuale găzduite nefuncționale. Acest lucru nu numai că afectează disponibilitatea serviciilor critice, dar reprezintă și un risc de pierdere a datelor și acces neautorizat la informații sensibile.
Măsuri de Mitigare și Recomandări
Broadcom a lansat actualizări de securitate pentru a aborda CVE-2024-37085. Administratorii sunt sfătuiți cu tărie să aplice aceste actualizări imediat pentru a-și proteja sistemele. Pentru versiunile de ESXi care nu primesc patch-uri, VMware recomandă modificarea anumitor setări avansate pentru a atenua vulnerabilitatea:
- Setați
Config.HostAgent.plugins.hostsvc.esxAdminsGroupAutoAddla false. - Ajustați
Config.HostAgent.plugins.vimsvc.authValidateIntervalde la 1440 la 90. - Schimbați
Config.HostAgent.plugins.hostsvc.esxAdminsGroupla un șir gol.
În plus, Microsoft recomandă aplicarea autentificării multifactor (MFA) pentru toate conturile, izolarea conturilor privilegiate de conturile de productivitate și îmbunătățirea poziției de securitate a activelor critice, cum ar fi hypervisor-urile ESXi și vCenter-urile.
Organizațiile care utilizează hypervisor-uri VMware ESXi ar trebui să ia măsuri imediate pentru a aplica patch-urile recomandate și să urmeze cele mai bune practici pentru a atenua riscul de atacuri ransomware.
Sursa: https://cybersecuritynews.com/20275-vmware-esxi-vulnerable/