Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Administradores, provedores de hospedagem e a Equipe Francesa de Resposta a Emergências Informáticas (CERT-FR) alertaram sobre um novo ataque de ransomware chamado ESXiArgs, que tem como alvo servidores VMware ESXi que não receberam as correções para uma vulnerabilidade de execução remota de código identificada há dois anos.
A vulnerabilidade, conhecida como CVE-2021-21974, é causada por um problema de estouro de heap no serviço OpenSLP, que pode ser explorado por invasores não autenticados em ataques de baixa complexidade. A falha afeta as versões 7.x do ESXi anteriores à ESXi70U1c-17325551, as versões 6.7.x do ESXi anteriores à ESXi670-202102401-SG e as versões 6.5.x do ESXi anteriores à ESXi650-202102101-SG.
Para bloquear ataques, recomenda-se que os administradores desativem o serviço vulnerável Service Location Protocol (SLP) nos hipervisores ESXi que ainda não foram atualizados e apliquem o patch o mais rápido possível. Além disso, os sistemas que ainda não receberam o patch também devem ser verificados quanto a sinais de comprometimento.
Na campanha de ransomware, os invasores criptografaram arquivos com as extensões .vmxf, .vmx, .vmdk, .vmsd e .nvram em servidores ESXi comprometidos e criaram um arquivo .args para cada documento criptografado contendo metadados, que provavelmente são necessários para a descriptografia. No entanto, os pagamentos de resgate têm sido limitados, com apenas quatro pagamentos registrados, totalizando US$ 88.000. Isso pode ser devido a um guia de recuperação do VMware ESXi criado por um pesquisador de segurança, que permite que os administradores reconstruam suas máquinas virtuais e recuperem seus dados gratuitamente.
Inicialmente, acreditava-se que o ataque estivesse relacionado à operação do ransomware Nevada, mas investigações posteriores revelaram que as mensagens de resgate observadas nesse ataque não pareciam estar relacionadas ao ransomware Nevada e pareciam pertencer a uma nova família de ransomware. O ransomware ESXiArgs está sendo monitorado por Michael Gillespie, da ID Ransomware, que afirmou que, até que uma amostra seja encontrada, não é possível determinar se ele apresenta alguma vulnerabilidade na criptografia.
Em conclusão, é fundamental que os administradores atualizem seus servidores VMware ESXi e desativem o serviço OpenSLP para se protegerem contra esse ataque de ransomware. No caso de uma violação, recomenda-se que os administradores obtenham uma cópia do criptografador ESXiArgs e do script de shell associado para compreender melhor o ataque e tomar as medidas adequadas para recuperar seus dados.
As fontes utilizadas neste artigo incluem uma matéria publicada no BleepingComputer.
