Публикуваха инструмент за възстановяване на виртуални инстанции, атакувани от ESXiArgs

Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (Cybersecurity and Infrastructure Security Agency, CISA) публикува специален скрипт в GitHub, чиято цел е да помогне във възстановяването на виртуализирани ESXi инстанции, поразени от ESXiArgs, рансумер заплаха, специализирана в криптиране на данните в популярния хипервизор на VMWare.

Спешното действие на CISA USA е провокирано от активна кампания, продължаваща повече от седмица, насочена към уязвимост в ESXi. Става дума за CVE-2021-21974, уязвимост, позволяваща изпълнението на произволен код дистанционно и която VMWare запушват още през февруари 2021. В края на миналата седмица са засечени хиляди опити за експлоатиране на уязвимостта към сървъри, разположени в цял свят. Към момента се отчита, че в хода на кампанията са криптирани над 2800 сървъри, като атаките продължават, предава Bleeping Cmputer.

CISA USA споделят, че засегнати от атаките са ESXi хипервизори във версии 6.х и преди 6.7. Администриращите уязвими инстанции, които все още не са получили обновление за дупката трябва да деактивират SLP услугата на тези хипервизори до налагане на актуализацията. Освен това, тези уязвими инстанции е нужно да бъдат проверени за присъствието на зловреден код.

Френският облачен доставчик OVHcloud уточнява, че атаките са насочени основно към ESXi сървъри преди версия 7.0 U3i, посредством порта на OpenSLP.

Инструментът, който CISA публикуват използва публично достъпни ресурси и ръководство, публикувано от двама отделни специалисти. Организацията препоръчва на администраторите, които смятат да използват този скрипт преди това да го разгледат, за да разберат какво прави той.