El ransomware VMware ESXi Server continúa evolucionando después de que se lanzó el script de recuperación

Después de que el FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) publicaron un guión de recuperación el miércoles para las organizaciones afectadas por un Ataque masivo de ransomware en servidores VMWare ESXi en todo el mundoSurgieron informes de que el malware había evolucionado de una manera que hacía que los métodos de recuperación anteriores fueran ineficaces.

Los ataques se dirigieron a ESXi bare metal de VMware hipervisor, fue lanzado por primera vez el 3 de febrero por el Equipo Francés de Respuesta a Emergencias Informáticas (CERT-FR) y está dirigido a instancias de ESXi que ejecutan versiones anteriores del software o que no han sido parcheadas según los estándares actuales. Según CISA y el FBI, unos 3.800 servidores están afectados en todo el mundo.

El Secuestro de datos cifra los archivos de configuración en máquinas virtuales vulnerables, dejándolos potencialmente inutilizables. Una nota de rescate emitida a una empresa afectada exigía aproximadamente $ 23,000 en bitcoins.

CISA, en conjunto con el FBI, ha publicado un script de recuperación. El grupo dijo que el script no elimina los archivos de configuración afectados, sino que intenta crear otros nuevos. No es una forma garantizada de eludir las demandas de rescate y no soluciona la vulnerabilidad raíz que permitió que el ataque ESXiArgs funcionara en primer lugar, pero podría ser un primer paso crucial para las empresas afectadas.

CISA advierte que después de ejecutar el script, las organizaciones deben actualizar inmediatamente sus servidores a las últimas versiones y deshabilitar el servicio de Protocolo de ubicación de servicio (SLP), que los atacantes de ESXiArgs usaron para comprometer el maquinas virtualesy desconecte los hipervisores ESXi de la Internet pública antes de reiniciar los sistemas.

Sin embargo, después de que CISA publicara su guía, surgieron informes de que una nueva versión del ransomware estaba infectando servidores y haciendo que los métodos de recuperación anteriores fueran ineficaces. La nueva versión del ransomware fue reportada por primera vez por la computadora emite un pitido.