Lỗ hổng VMWare chưa được vá được tin tặc sử dụng để nhắm mục tiêu vào máy chủ và phát tán ransomware
Tin tặc đang khai thác lỗ hổng VMWare chưa được vá để nhắm mục tiêu vào các máy chủ ESXi và phát tán mã độc tống tiền.
Một lỗi phần mềm chưa được vá có trong các máy chủ ESXi của VMWare đang bị tin tặc khai thác với mục tiêu phát tán ransomware trên toàn cầu.
Mục Lục
Máy chủ VMWare chưa được vá bị tin tặc lạm dụng
Một lỗ hổng phần mềm hai năm tuổi hiện diện trong các máy chủ ESXi của VMWare đã trở thành mục tiêu của một chiến dịch hack lan rộng. Mục tiêu của cuộc tấn công là triển khai ESXiArgs, một biến thể ransomware mới. Hàng trăm tổ chức được ước tính đã bị ảnh hưởng.
Đội phản ứng khẩn cấp máy tính của Pháp (CERT) đã đăng một tuyên bố vào ngày 3 tháng 2, trong đó bản chất của các cuộc tấn công đã được thảo luận. Trong bài đăng của CERT, người ta viết rằng các chiến dịch “dường như đã lợi dụng sự lộ diện của các trình ảo hóa ESXi chưa được cập nhật các bản vá bảo mật đủ nhanh.” CERT cũng lưu ý rằng lỗi được nhắm mục tiêu “cho phép kẻ tấn công thực hiện khai thác mã tùy ý từ xa.”
Các tổ chức đã được khuyến khích vá lỗ hổng của trình ảo hóa để tránh trở thành nạn nhân của hoạt động ransomware này. Tuy nhiên, CERT đã nhắc nhở người đọc trong tuyên bố nói trên rằng “cập nhật sản phẩm hoặc phần mềm là một hoạt động tinh vi phải được thực hiện một cách thận trọng” và rằng “nên thực hiện các thử nghiệm càng nhiều càng tốt.”
VMWare cũng đã lên tiếng về tình hình
Cùng với CERT và nhiều tổ chức khác, VMWare cũng đã đưa ra một bài đăng về cuộc tấn công toàn cầu này. Trong một lời khuyên của VMWare, người ta viết rằng lỗ hổng máy chủ (được gọi là CVE-2021-21974) có thể cung cấp cho các tác nhân độc hại khả năng “kích hoạt sự cố tràn bộ nhớ trong dịch vụ OpenSLP dẫn đến thực thi mã từ xa.”
VMWare cũng lưu ý rằng họ đã phát hành một bản vá cho lỗ hổng này vào tháng 2 năm 2021, bản vá này có thể được sử dụng để cắt đứt hướng tấn công của kẻ điều hành độc hại và do đó tránh bị nhắm mục tiêu.
Cuộc tấn công này dường như không phải do nhà nước điều hành
Mặc dù danh tính của những kẻ tấn công trong chiến dịch này vẫn chưa được xác định, nhưng Cơ quan An ninh mạng Quốc gia Ý (ACN) cho biết hiện tại không có bằng chứng nào cho thấy cuộc tấn công được thực hiện bởi bất kỳ tổ chức nhà nước nào (theo báo cáo của Reuters). Nhiều tổ chức của Ý đã bị ảnh hưởng bởi cuộc tấn công này, cũng như các tổ chức ở Pháp, Mỹ, Đức và Canada.
Các đề xuất đã được đưa ra về việc ai có thể chịu trách nhiệm cho chiến dịch này, với phần mềm từ các họ ransomware khác nhau như BlackCat, Agenda và Nokoyawa, đang được xem xét. Thời gian sẽ cho biết liệu danh tính của những người điều hành có thể được khám phá hay không.
Các cuộc tấn công ransomware tiếp tục gây ra rủi ro lớn
Nhiều năm trôi qua, ngày càng có nhiều tổ chức trở thành nạn nhân của các cuộc tấn công ransomware. Phương thức tội phạm mạng này đã trở nên cực kỳ phổ biến đối với các tác nhân độc hại, với vụ hack VMWare toàn cầu này cho thấy hậu quả có thể lan rộng đến mức nào.