Markt + Trends | Systemmanagement | iX

Kampf um VMware ESXi

Nach breit gestreuten Ransomware-Attacken auf ältere VMware-ESXi-Systeme, ringt die CISA darum, verschlüsselte Systeme wiederherzustellen. Die Erpresser sind VMware und Behörden einen Schritt voraus.

Ein weltweiter Ransomware-Angriff verschlüsselte Anfang Februar zahlreiche Server, auf denen VMwares Virtualisierungssoftware ESXi zum Einsatz kam. Auch mehrere Hundert Server in Deutschland waren betroffen. Als Einfallstor diente eine länger bekannte Schwachstelle im OpenSLP-Service, bei der ein Heap Overflow angestoßen und dadurch Code aus der Ferne ausgeführt werden kann. Die Sicherheitslücke CVE-2021-21974 war bereits seit Februar 2021 bekannt.

VMware selbst erklärte, dass es sich bei den ESXiArgs getauften Angriffen nicht um eine Zero-Day-Lücke handle, sondern um gezielte Attacken auf EOGS-Produkte (End of General Support). Das Unternehmen riet dazu, die aktuellen Versionen der vSphere-Komponenten zu installieren und den OpenSLP-Dienst in ESXi zu deaktivieren – Entdecker der neusten Ransomware-Version berichteten jedoch, dass auch Server mit deaktiviertem OpenSLP befallen wurden.