Un massiccio attacco ransomware globale minaccia i server ESXi. Attenzione all’esposizione su internet!

Redazione RHC : 5 Febbraio 2023 17:28

I ricercatori di sicurezza stanno segnalando una esplosione di compromissioni degli hypervisor VMware ESXi con oltre 500 macchine colpite dal ransomware questo fine settimana, con gli attacchi che sfruttano la CVE-2021-21974.

Come pubblicato da The Stack, circa 20 macchine ESXi venivano colpite ogni ora, utilizzando i dati messi a disposizione da Shodan che mostravano che la maggior di queste macchine era ospitata da OVHcloud. Ma il raggio d’azione si sta espandendo rapidamente.

I clienti francesi sembravano inizialmente essere quelli più colpiti e il CERT-FR del paese è stato tra i primi a pubblicare un avviso.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Gli attacchi potrebbero prendere di mira istanze prive di patch ed esposte a Internet utilizzando la CVE-2021–21974, un HeapOverflow su VMware ESXi OpenSLP che porta ad una remote code execution (RCE), ha affermato CERT-FR.

Sebbene l’avviso iniziale di VMware sia del 2021 e riguardava ESXi 7.0, 6.7 e 6.5, gli attacchi ora sembrano colpire anche le versioni di build precedenti.

Gli amministratori devono quindi garantire che i server ESXi in gestione e senza patch siano protetti da opportune regole firewall, senza esporre porte su internet.

La precedente mitigazione di VMware per la vulnerabilità ha invitato gli utenti a 

• 1: accedere agli host ESXi utilizzando una sessione SSH (come putty); 
• 2: Arrestare il servizio SLP sull’host ESXi con questo comando: /etc/init.d/slpd stop (nb Il servizio SLP può essere interrotto solo quando il servizio non è in uso; gli utenti possono controllare lo stato operativo del demone SLP: esxcli system slp stats get 
• 3: eseguire questo comando per disabilitare il servizio: esxcli network firewall ruleset set -r CIMSLP -e 0

OVHcloud ha dichiarato il 3 febbraio: “Un’ondata di attacchi sta attualmente prendendo di mira i server ESXi. Tuttavia, nessun servizio gestito da OVHcloud è interessato da questo attacco, poiché molti clienti utilizzano questo sistema operativo sui propri server, forniamo questo post come riferimento a supporto per aiutarli nella loro risoluzione”.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli