Ransomware pe VMware ESXi: cum o singură lovitură îți criptează toate mașinile virtuale

Există un scenariu pe care orice administrator de infrastructură virtualizată îl are în coșmaruri: nu un server căzut, ci toate deodată. Ăsta e ce se întâmplă când ransomware-ul ajunge la hipervizorul VMware ESXi — stratul pe care rulează toate mașinile tale virtuale. Nu-ți criptează un server; îl criptează pe cel de sub toate. E scenariul cel mai temut în infrastructurile virtualizate, iar sectorul financiar e o țintă predilectă.

De ce hipervizorul e ținta perfectă

Un hipervizor găzduiește zeci sau sute de mașini virtuale, fiecare cu discul ei (.vmdk). Dacă un atacator criptează sistemul de fișiere al ESXi-ului, toate VM-urile de deasupra devin inutilizabile într-o singură mișcare. Microsoft o spune direct: criptarea unui hipervizor ESXi permite „criptare în masă dintr-o singură mișcare, fiindcă mașinile găzduite sunt afectate“.

Sunt două motive pentru care ESXi e atât de atractiv:

• Efect de pârghie maxim. Un singur punct de compromis = tot centrul de date jos. Nu mai e nevoie de mișcare laterală prin sute de servere.
• Unghi mort de securitate. Multe soluții EDR/antivirus nu rulează pe ESXi (e un sistem de tip appliance, nu un Windows/Linux obișnuit). Atacul se desfășoară acolo unde monitorizarea ta vede cel mai puțin.

De aceea grupurile mari de ransomware au trecut, în ultimii ani, de la „criptăm stațiile“ la „criptăm hipervizorul“.

Cum ajung atacatorii la ESXi

Nu e magie — sunt câteva căi bine documentate:

• CVE-2024-37085 — bypass de autentificare pe ESXi. Pe hipervizoarele alăturate unui domeniu Active Directory, orice membru al unui grup numit „ESX Admins“ primește implicit acces complet de administrator. Problema, descrisă de Microsoft: ESXi nu verifică dacă grupul chiar există și îl identifică după nume, nu după SID. Consecința: un atacator care are deja drepturi în AD creează pur și simplu un grup „ESX Admins“, își adaugă un cont — și are administrator pe hipervizor. Legat de actori ca Storm-0506, Storm-1175, Octo Tempest, Manatee Tempest și familii ca Akira, Black Basta, Babuk, LockBit, Kuiper.
• CVE-2021-21974 — OpenSLP. Vulnerabilitatea exploatată în campania masivă ESXiArgs din februarie 2023, care a criptat mii de servere ESXi expuse în internet — multe nepatchuite de doi ani. CISA a publicat atunci ghid și un script de recuperare.
• Calea plictisitoare, dar cea mai frecventă: credențiale valide + acces la vCenter sau la interfața de management. Un cont de admin furat (phishing, VPN, infostealer) și un management ESXi ajungibil din rețea sunt suficiente. De acolo, esxcli oprește VM-urile și pornește criptarea.

Recomandările noastre

Un atac pe hipervizor nu se apără cu un singur buton, ci cu straturi. Iată ce reduce direct riscul:

• Backup izolat de hipervizor. Aici e linia de viață. Copii imutabile/offline ale VM-urilor, pe o infrastructură separată de domeniul și de virtualizarea pe care rulează producția — inaccesibile unui atacator care deține ESXi-ul. Plus un restore exersat, cu RTO/RPO măsurat. Un backup care stă pe același vCenter e criptat odată cu restul. Parte din auditul de securitate.
• Izolează planul de management vSphere. ESXi și vCenter nu au ce căuta expuse — nici în internet, nici plat în LAN. Rețea de management separată, acces prin jump host, SSH și OpenSLP dezactivate, lockdown mode, MFA pe vCenter. Monitorizarea și revizuirea periodică prind oprirea în masă a VM-urilor și accesul administrativ anormal — semnalele care preced criptarea.
• Patch + întărirea grupului „ESX Admins“. Aplică patch-urile VMware, dezactivează auto-adăugarea (Config.HostAgent.plugins.hostsvc.esxAdminsGroupAutoAdd) și folosește un grup dedicat, nu unul numit generic „ESX Admins“. E fix vectorul CVE-2024-37085.
• Testează suprafața reală. Un test de securitate verifică dacă un atacator ajunge la vCenter/ESXi din poziția lui și cât de departe ajunge — înainte de incident, nu în timpul lui.

Regula de aur rămâne aceeași ca la orice ransomware, doar că miza e mai mare: dacă un singur compromis îți poate cripta întreg centrul de date, întrebarea nu e „dacă mă apăr de intrare“, ci „ce repun, de unde, și în cât timp“.

Vrei să știi cât de expus e stratul tău de virtualizare? Scrie-ne și pornim de la un audit.