Red Hot Cyber

Sicurezza informatica, cybercrime, hack
news, e altro ancora

Red Hot Cyber

Un massiccio attacco ransomware globale minaccia i server ESXi. Attenzione all’esposizione su internet!

5 Febbraio 2023 17:28

I ricercatori di sicurezza stanno segnalando una esplosione di compromissioni degli hypervisor VMware ESXi con oltre 500 macchine colpite dal ransomware questo fine settimana, con gli attacchi che sfruttano la CVE-2021-21974.

Come pubblicato da The Stack, circa 20 macchine ESXi venivano colpite ogni ora, utilizzando i dati messi a disposizione da Shodan che mostravano che la maggior di queste macchine era ospitata da OVHcloud. Ma il raggio d’azione si sta espandendo rapidamente.

I clienti francesi sembravano inizialmente essere quelli più colpiti e il CERT-FR del paese è stato tra i primi a pubblicare un avviso.

Supporta Red Hot Cyber attraverso
  • L'acquisto del fumetto sul cybersecurity awareness (Primo episodio)
  • La sponsorizzazione della RHC Conference 2024
  • L'Acquisto di stock di fumetti sul Cybersecurity Awareness personalizzabili
  • La realizzazione di una puntata del fumetto BETTI-RHC
  • La realizzazione di strisce a fumetti brandizzate
  • Seguendo RHC su LinkedIn
  • Seguendo RHC su WhatsApp
  • Seguendo RHC su Google News

  • Iscrivendoti alla nostra newsletter

    Gli attacchi potrebbero prendere di mira istanze prive di patch ed esposte a Internet utilizzando la CVE-2021–21974, un HeapOverflow su VMware ESXi OpenSLP che porta ad una remote code execution (RCE), ha affermato CERT-FR.

    Sebbene l’avviso iniziale di VMware sia del 2021 e riguardava ESXi 7.0, 6.7 e 6.5, gli attacchi ora sembrano colpire anche le versioni di build precedenti.

    Gli amministratori devono quindi garantire che i server ESXi in gestione e senza patch siano protetti da opportune regole firewall, senza esporre porte su internet.

    La precedente mitigazione di VMware per la vulnerabilità ha invitato gli utenti a 

    • 1: accedere agli host ESXi utilizzando una sessione SSH (come putty); 
    • 2: Arrestare il servizio SLP sull’host ESXi con questo comando: /etc/init.d/slpd stop (nb Il servizio SLP può essere interrotto solo quando il servizio non è in uso; gli utenti possono controllare lo stato operativo del demone SLP: esxcli system slp stats get 
    • 3: eseguire questo comando per disabilitare il servizio: esxcli network firewall ruleset set -r CIMSLP -e 0

    OVHcloud ha dichiarato il 3 febbraio: “Un’ondata di attacchi sta attualmente prendendo di mira i server ESXi. Tuttavia, nessun servizio gestito da OVHcloud è interessato da questo attacco, poiché molti clienti utilizzano questo sistema operativo sui propri server, forniamo questo post come riferimento a supporto per aiutarli nella loro risoluzione”.