Siber suçlular, dünya çapında binlerce kuruluşu hedef alan bir fidye yazılımı kampanyasının parçası olarak iki yıllık bir VMware güvenlik açığından aktif olarak yararlanıyor.
Hafta sonu, VMware ESXi sunucularının 2021’den itibaren uzaktan istismar edilebilir bir hataya karşı savunmasız ve yamasız bırakıldığı ve “ESXiArgs” adlı bir fidye yazılımı varyantı tarafından ele geçirildiği ve karıştırıldığına dair raporlar ortaya çıktı. ESXi, kuruluşların tek bir fiziksel sunucuda birden çok işletim sistemi çalıştıran birkaç sanallaştırılmış bilgisayarı barındırmasına olanak tanıyan bir teknoloji olan VMware’in hipervizörüdür.
Fransa’nın bilgisayar acil durum müdahale ekibi CERT-FR, siber suçluların 3 Şubat’tan beri VMware ESXi sunucularını hedef aldığını bildirirken, İtalya’nın ulusal siber güvenlik ajansı ACN Pazar günü Avrupa ve Kuzey Amerika’da binlerce sunucuyu hedefleyen büyük ölçekli bir fidye yazılımı kampanyası konusunda uyarıda bulundu.
ABD siber güvenlik yetkilileri de ESXiArgs kampanyasını araştırdıklarını doğruladılar. “Bir CISA sözcüsü TechCrunch’a verdiği demeçte, CISA, bildirilen bu olayların etkilerini değerlendirmek ve gerektiğinde yardım sağlamak için kamu ve özel sektör ortaklarımızla birlikte çalışıyor. “Bir siber güvenlik olayı yaşayan herhangi bir kuruluş, bunu derhal CISA’ya veya FBI’a bildirmelidir.”
İtalyan ANSA haber ajansına göre, İtalyan siber güvenlik yetkilileri, ESXi kusurunun, çalışan parolalarını veya sırlarını kullanmaya dayanmayan düşük karmaşıklıktaki saldırılarda kimliği doğrulanmamış tehdit aktörleri tarafından istismar edilebileceği konusunda uyardı. Yerel basının bildirdiğine göre, fidye yazılımı kampanyası yama uygulanmamış makine sayısı nedeniyle şimdiden “önemli” hasara neden oluyor.
Bir Censys aramasına göre (Bleeping Computer aracılığıyla) dünya çapında 3.200’den fazla VMware sunucusunun güvenliği şu ana kadar ESXiArgs fidye yazılımı kampanyası tarafından ele geçirildi. En çok etkilenen ülke Fransa olurken, onu ABD, Almanya, Kanada ve Birleşik Krallık izliyor.
Fidye yazılımı kampanyasının arkasında kimin olduğu belli değil. Fransız bulut bilgi işlem sağlayıcısı OVHCloud, Nevada fidye yazılımı varyantına bir bağlantı olduğunu öne süren ilk bulgularından geri adım attı.
Tehdit istihbaratı sağlayıcısı tarafından paylaşılan, iddia edilen fidye notunun bir kopyası Karanlık Besleme, saldırının arkasındaki bilgisayar korsanlarının, kurbanların müşterilerini veri ihlali konusunda bilgilendirmekle tehdit ettikleri bir “üçlü gasp” tekniğini benimsediğini gösteriyor. Bilinmeyen saldırganlar, her notta farklı bir bitcoin cüzdan adresi gösteren 2.06 bitcoin – yaklaşık 19.000 $ fidye ödemesi – talep ediyor.
VMware sözcüsü Doreen Ruyak, TechCrunch’a yaptığı açıklamada, şirketin ESXiArgs adlı bir fidye yazılımı varyantının “CVE-2021-21974 olarak tanımlanan güvenlik açığından yararlanıyor gibi göründüğü” raporlarından haberdar olduğunu ve güvenlik açığı için yamaların “kullanıma sunulduğunu” söyledi. VMware’in 23 Şubat 2021 tarihli güvenlik danışmanlığında iki yıl önce müşterilere.
Sözcü, “Güvenlik hijyeni, fidye yazılımı saldırılarını önlemenin önemli bir bileşenidir ve CVE-2021-21974’ten etkilenen ESXi sürümlerini çalıştıran ve henüz yamayı uygulamamış olan kuruluşlar, danışma belgesinde belirtildiği şekilde harekete geçmelidir.”
CISA’dan gelen yorumla güncellendi.
