CISA ha ordenado a las agencias del Poder Ejecutivo Civil Federal (FCEB) de EE.UU. que aseguren sus servidores contra una vulnerabilidad de elusión de autenticación de VMware ESXi explotada en ataques de ransomware.
VMware, subsidiaria de Broadcom, corrigió este fallo (CVE-2024-37085) descubierto por investigadores de seguridad de Microsoft el 25 de junio con el lanzamiento de ESXi 8.0 U3.
CVE-2024-37085 permite a los atacantes añadir un nuevo usuario al grupo 'ESX Admins' -no presente por defecto pero que puede añadirse tras obtener altos privilegios en el hipervisor ESXi- al que se le asignarán automáticamente plenos privilegios administrativos.
A pesar de que la explotación exitosa requeriría la interacción del usuario y altos privilegios para llevar a cabo, y VMware calificó la vulnerabilidad como de gravedad media, Microsoft reveló el lunes de la semana que varias bandas de ransomware ya están explotando para escalar a privilegios de administrador completo en hipervisores unidos a dominios.
Una vez que obtienen permisos de administrador, roban datos confidenciales de las máquinas virtuales, se mueven lateralmente a través de las redes de las víctimas y, a continuación, cifran el sistema de archivos del hipervisor ESXi, provocando cortes e interrumpiendo las operaciones empresariales.
Hasta ahora, CVE-2024-37085 ha sido explotado por operadores de ransomware rastreados como Storm-0506, Storm-1175, Octo Tempest y Manatee Tempest para desplegar los ransomware Akira y Black Basta.
Los organismos federales tienen tres semanas para proteger los sistemas vulnerables
Tras el informe de Microsoft, CISA ha añadido la vulnerabilidad de seguridad a su catálogo de "Vulnerabilidades explotadas conocidas", como advertencia de que los actores de amenazas la están aprovechando en los ataques.
Las agencias de la rama ejecutiva civil federal (FCEB) tienen ahora tres semanas, hasta el 20 de agosto, para asegurar sus sistemas contra la explotación en curso de CVE-2024-37085, según la directiva operativa vinculante (BOD 22-01) emitida en noviembre de 2021.
Aunque esta directiva solo se aplica a las agencias federales, la agencia de ciberseguridad instó encarecidamente a todas las organizaciones a priorizar la corrección de la falla y frustrar los ataques de ransomware que podrían dirigirse a sus redes.
"Este tipo de vulnerabilidades son vectores de ataque frecuentes para los ciberactores maliciosos y plantean riesgos significativos para la empresa federal", advirtió CISA.
Durante años, las operaciones de ransomware han cambiado su enfoque para dirigirse a las máquinas virtuales (VM) ESXi de sus víctimas, en particular después de que las víctimas han comenzado a usarlas para almacenar datos confidenciales y alojar aplicaciones críticas.
Sin embargo, hasta ahora, han utilizado principalmente lockers Linux diseñados para cifrar las máquinas virtuales en lugar de explotar vulnerabilidades de seguridad específicas en ESXi (como CVE-2024-37085), a pesar de que hacerlo podría proporcionar una forma más rápida de acceder a los hipervisores de las víctimas.
Fuente: bleepingcomputer