Venerdì 3 febbraio è partita una delle campagne ransomware più estese degli ultimi anni. Il bersaglio sono i server VMware ESXi, gli hypervisor su cui girano le macchine virtuali di moltissime aziende. In pochi giorni i server colpiti nel mondo hanno superato i 3.800, soprattutto in Francia ma anche negli Stati Uniti, in Germania, in Canada e in Italia. Qui l’Agenzia per la Cybersicurezza Nazionale ha lanciato l’allarme già domenica 5 febbraio, segnalando decine di sistemi compromessi.
La porta d’ingresso è con ogni probabilità la CVE-2021-21974, un heap overflow nel servizio OpenSLP di ESXi, in ascolto sulla porta 427. È stata corretta a febbraio 2021. Due anni dopo, migliaia di server non aggiornati, spesso con versioni fuori supporto, erano ancora raggiungibili da Internet. Sono vulnerabili:
- ESXi 7.0 precedenti a ESXi70U1c-17325551;
- ESXi 6.7 precedenti a ESXi670-202102401-SG;
- ESXi 6.5 precedenti a ESXi650-202102101-SG.
ESXiArgs cifra i file di configurazione delle macchine virtuali, come .vmx, .vmdk, .vmsd e .nvram, e lascia una richiesta di circa 2 bitcoin. Gli autori, però, hanno sbagliato qualcosa: in molti casi i grandi file che contengono i dischi veri e propri, i -flat.vmdk, non vengono cifrati del tutto. Partendo da qui due ricercatori hanno spiegato come ricostruire le configurazioni, e l’agenzia statunitense per la cybersicurezza ha pubblicato su GitHub uno script di recupero gratuito.
Se sei stato colpito, e se non lo sei
Se un tuo server è stato cifrato, isolalo e non reinstallare subito: prova lo script seguendo le istruzioni. Molte vittime hanno recuperato le macchine senza pagare nulla.
Se non sei stato colpito, aggiorna ESXi a una versione supportata e corretta; la 6.5 e la 6.7 sono ormai fuori supporto, quindi pianifica la migrazione. Se non usi SLP, disattivalo con /etc/init.d/slpd stop, poi esxcli network firewall ruleset set -r CIMSLP -e 0 e chkconfig slpd off. Soprattutto, l’interfaccia di gestione di un hypervisor deve stare su una rete di amministrazione isolata, mai su Internet. E i backup delle macchine virtuali vanno tenuti fuori dall’hypervisor e fuori dalla rete: chi controlla l’host controlla tutto ciò che ci gira sopra.
