Um ataque global de ransomware atingiu milhares de servidores que executam o hipervisor VMware ESXi, prevendo-se que mais servidores venham a ser afetados, de acordo com agências nacionais de cibersegurança e especialistas em segurança de todo o mundo.
A Equipa Francesa de Resposta a Emergências Informáticas (CERT-FR) foi a primeira a detetar o ataque e a emitir um alerta sobre o mesmo.
“Em março<>, ”O CERT-FR tomou conhecimento de uma campanha de ataques dirigida ao hipervisor VMware ESXi com o objetivo de instalar ransomware no mesmo», escreveu o CERT-FR.
[Instruções sobre o que sabe sobre estes vírus informáticos: definições, tipos e exemplos. | Inscreva-se na newsletter da CSO! ]
Outras agências nacionais de cibersegurança — incluindo organismos nos Estados Unidos, em França e em Singapura — também emitiram alertas sobre o ataque. Segundo relatos, foram comprometidos servidores em França, na Alemanha, na Finlândia, nos Estados Unidos e no Canadá.
0 de 25 minutos e 14 segundos, volume 0%
Até ao momento, mais de 3 200 servidores em todo o mundo foram comprometidos, de acordo com a empresa de cibersegurança Censys.
O CERT-FR e outras entidades informaram que a campanha explorou a vulnerabilidade CVE-2021-21974, para a qual existe uma correção disponível desde 23 de março de 2021. Esta vulnerabilidade afeta os serviços do Protocolo de Localização de Serviços (SLP) e permite que um atacante execute código arbitrário remotamente. O CERT-FR afirmou que o sistema alvo atual é a versão 6.x do hipervisor ESXi, que é anterior à versão 7.<>.
“O SLP pode ser desativado em qualquer servidor ESXi que não tenha sido atualizado, a fim de reduzir ainda mais o risco de violação”, escreveu o CERT-FR no seu comunicado.
Um alerta emitido pela empresa de cibersegurança DarkFeed no fim de semana indicou que, na Europa, a França e a Alemanha foram os países mais afetados pelos ataques. Segundo a DarkFeed, a maioria dos servidores comprometidos na França e na Alemanha estava alojada nos fornecedores de alojamento OVHcloud e Hetzner, respetivamente.
Uma nota de resgate dirigida às vítimas do ataque, publicada publicamente pelo DarkFeed, diz, em parte: “Alerta de segurança! Conseguimos comprometer a vossa empresa… Enviem o dinheiro no prazo de 3 dias ou divulgaremos alguns dados e aumentaremos o preço.».
A descrição citada pelo DarkFeed indica que 2,01584 (aproximadamente $23 000) foi enviado para uma carteira de Bitcoin, mas, aparentemente, o autor da ameaça está a utilizar uma carteira diferente para receber a taxa. “Curiosamente, as carteiras de Bitcoin são diferentes em cada nota de resgate. O grupo não tem um site, apenas um TOX ID”, afirmou o DarkFeed.
As agências de segurança globais estão a prestar aconselhamento às equipas de segurança.
Recomenda-se aos administradores que atualizem para a versão mais recente do ESXi
“Recomenda-se aos utilizadores e administradores das versões afetadas do produto que atualizem imediatamente para a versão mais recente. Como medida de precaução, deve também ser realizada uma verificação completa do sistema para detetar quaisquer sinais de comprometimento. Recomenda-se ainda aos utilizadores e administradores que avaliem se a atividade de ransomware que tem como alvo a porta 427 pode ser desativada sem perturbar as operações”, afirmou a Equipa de Resposta a Emergências Informáticas de Singapura (SingCERT) num comunicado.
Desde que o ataque veio a público, os investigadores de segurança têm vindo a analisá-lo, a emitir alertas semelhantes e a acrescentar informações.
“Atualize para a versão mais recente do #ESXi e limite o acesso ao serviço #OpenSLP a endereços IP de confiança”, aconselhou o investigador de segurança Matthieu Garin numa publicação no Twitter. Garin também fornece informações que ajudam na recuperação de ficheiros afetados pelo ransomware. “O atacante apenas encripta o ficheiro de configuração, não o disco vmdk onde os dados estão armazenados. Isto é, sem dúvida, muito útil!”, afirmou Garin.
Entretanto, as agências norte-americanas afirmaram que estavam a avaliar o impacto dos incidentes relatados.
“A CISA está a trabalhar com os nossos parceiros dos setores público e privado para avaliar o impacto destes incidentes comunicados e prestar assistência, caso seja necessário”, afirmou a Agência de Cibersegurança e Segurança das Infraestruturas dos EUA num comunicado à imprensa, segundo a Reuters Express.
Os investigadores observam que os autores de ataques de ransomware têm frequentemente como alvo os países desenvolvidos.
“Os países desenvolvidos são, em geral, alvo de ataques de ransomware com maior frequência, porque dispõem de mais recursos e Bitcoin e são mais propensos a pagar os resgates exigidos”, afirmou Rahul Sasi, cofundador e diretor executivo da empresa de cibersegurança CloudSEK.
“Estes países também tendem a ter uma maior densidade de alvos valiosos, tais como grandes empresas e organismos governamentais, que podem ser vulneráveis a um ataque bem-sucedido. Além disso, os países desenvolvidos dispõem, em geral, de infraestruturas tecnológicas mais avançadas, o que os torna alvos mais atraentes para os cibercriminosos que exploram vulnerabilidades”, acrescentou Sasi.
