ATAQUE MASIVO DE RANSOMWARE DIRIGIDO A SERVIDORES ESXI

03/02/2023

BOLETÍN NRO 2023-076

Recientemente se ha detectado multiples ataques dirigidos a servidores VMware ESXi que están siendo explotados a través de la vulnerabilidad CVE-2021-21974, esta noticia fue emitida en nuestro Boletín SecureSoft Nro. 2021-079.

Servicios Afectados

• ESXi versions 7.x prior to ESXi70U1c-17325551

• ESXi versions 6.7.x prior to ESXi670-202102401-SG

• ESXi versions 6.5.x prior to ESXi650-202102101-SG

Detalles Tecnicos

CVE: CVE-2021-21974                                    Severidad:   CRÍTICA

La falla de seguridad es causada por un problema de desbordamiento de montón en el servicio OpenSLP que puede ser explotado por actores de amenazas no autenticados en ataques de baja complejidad. La mayoría de los sistemas objetivo son hipervisores ESXi en versiones anteriores a la 6.7. Para bloquear los ataques, los administradores deben deshabilitar el servicio vulnerable de Protocolo de ubicación de servicios (SLP) en los hipervisores ESXi no actualizados. CERT-FR recomienda aplicar el parche lo antes posible.

Los investigadores han publicado un informe que vincula estos multiples ataques con la operación de ransomware de Nevada. El ataque está dirigido principalmente a servidores ESXi en una versión anterior a 7.0 U3i, a través del puerto OpenSLP (427). Al menos 120 servidores VMware ESXi en todo el mundo ya han sido comprometidos en esta campaña de ransomware.

Las víctimas afectadas por esta campaña han comenzado a denunciar los ataques en lso diferentes foros de threat intelligence. El ransomware ESXiArgs cifra los archivos en servidores ESXi comprometidos y crea un archivo .args para cada documento cifrado. Sin embargo, los ciberdelincuentes afirman haber robado datos, pero una víctima informó en los foros de que ese no fue el caso en su incidente. Las víctimas han encontrado notas de rescate en sus sistemas bloqueados.

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Se debe aplicar las actualizaciones correspondientes de acuerdo con el siguiente enlace de vmware.

** Al aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Massive ESXiArgs ransomware attack targets VMware ESXi servers worldwide
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​