Publicité en cours de chargement...

Publicité en cours de chargement...

Les serveurs VMware : une cible de choix pour les attaquants

31 août 2021 - 11:58,
Tribune - Charles Blanc-Rolin
   

Les serveurs VMware ESXi, tout comme les serveurs Hyper-V chez Microsoft, sont de plus en plus des cibles de choix pour les attaquants. Une grande majorité des serveurs virtualisés s’appuyant toujours sur l’une ou l’autre des technologies, avoir la main mise sur les hyperviseurs, c’est avoir la main mise sur toutes les machines qu’ils hébergent. Si côté Hyper-V on retrouve la panoplie des vulnérabilités Windows avec quelques petits bonus en supplément, chez VMware, on s’appuie sur un système Linux, beaucoup moins ciblé par les attaquants. Attention, moins ciblé, ne veut pas dire, pas ciblé du tout !

Même si nous savons tous que c’est mal d’exposer l’interface Web d’administration de son infrastructure VMware sur Internet, on trouve quand même très vite, en France, plus 300 serveurs vSphere exposés directement derrière une adresse IP publique.

Depuis le début de l’année, plusieurs vulnérabilités importantes ont été corrigées sur les produits VMware ESXi et vCenter. On notera notamment les vulnérabilités CVE-2021-21972, CVE-2021-21985 et CVE-2021-21986 affectant vSphere, ainsi que la vulnérabilité CVE-2021-21974 affectant ESXi [1]. Ces quatre vulnérabilités peuvent permettre à un attaquant de réaliser une exécution de code arbitraire à distance sans authentification préalalble et des POCs d’exploitation publiques ne manquent pas, pour au moins trois de ces vulnérabilités.

N’allez pas vous imaginer que seuls des chercheurs en sécurité s’appliquent à trouver des solutions pour torturer ces pauvres serveurs VMware.
Fin juin nous apprenions que le groupe d’attaquants derrière le rançongiciel REvil / Sodinokibi, se lançait à la conquête des serveurs ESXi [2] à l’aide de la version Linux de son rançongiciel chiffrant, utilisée déjà quelque mois auparavant pour compromettre des serveurs NAS [3].

Mi-juillet, nous apprenions que le groupe derrière le rançongiciel HelloKity, amateur de passerelles extranet SonicWall SMA ou encore Citrix NetScaller s’était lui aussi lancé dans le chiffrement de données depuis des serveurs ESXi [4]. La technique est simple et efficace, utilisation de la commande « esxcli » pour lister les machines virtuelles exécutées sur le serveur, et ensuite les arrêter. Une fois les machines arrêtées, le rançongiciel se charge de chiffrer les fichiers VMDK (disques durs virtuels), VMX (fichiers de configuration des machines virtuelles), VMSD (métadonnées et informations sur les snapshots) et VMSN (contenant l’état de la machine virtuelle). C’est un gain de temps pour les attaquants qui ne s’embêtent plus à aller chiffrer les données des serveurs virtualisés, mais tapent directement « à la source » puisque les serveurs virtualisés deviennent inutilisables et les données qu’ils contiennent totalement perdues.

On notera également que le groupe derrière HelloKitty semble également être derrière le rançongiciel Vice Society [5] dont le CH d’Arles a été victime il y a quelques semaines [6], et comme dans la plupart des attaques de ce type, l’exfiltration de données vient s’ajouter à la situation déjà difficile.


[1] https://www.vmware.com/security/advisories/VMSA-2021-0002.html

https://www.vmware.com/security/advisories/VMSA-2021-0010.html

[2] https://twitter.com/VK_Intel/status/1409601311092490248?s=20 

[3] https://twitter.com/y_advintel/status/1391450354051653633 

https://otx.alienvault.com/pulse/60da2c80aa5400db8f1561d5 

[4] https://twitter.com/malwrhunterteam/status/1415403132230803460 

https://unit42.paloaltonetworks.com/emerging-ransomware-groups/ 

[5] https://twitter.com/demonslay335/status/1403109032014061568 

[6] https://www.zataz.com/piratage-du-centre-hospitalier-darles-there-is-nothing-ou-presque/  

Avez-vous apprécié ce contenu ?

A lire également.

Illustration En direct du congrès APSSIS 2025 –– conférence sur l’histoire des malwares

En direct du congrès APSSIS 2025 –– conférence sur l’histoire des malwares

24 juin 2025 - 18:00,

Tribune

-
Cédric Cartau

Temps fort traditionnel, Michel Dubois nous a habitués à des conférences techniques sur des sujets pointus, telle l’histoire du chiffrement. Nous voilà donc embarqués dans l’histoire des malwares, et on part de loin : machine de Turing, théorie de l’informatique de la fin de la Seconde Guerre mondia...

Illustration Interopérabilité en santé : FHIR on fire

Interopérabilité en santé : FHIR on fire

23 juin 2025 - 21:47,

Actualité

- DSIH, Guilhem De Clerck

HLTH 2025 – Amsterdam, 17 juin 2025 – Sur la scène du congrès HLTH, l’interopérabilité des données de santé s’est imposée comme un enjeu central, illustrant les limites persistantes des systèmes actuels et les espoirs placés dans la norme FHIR (Fast Healthcare Interoperability Resources). Au cœur de...

Illustration « Data Opt-in-imism : pourquoi la confiance est-elle la clé du succès de l’EHDS », une question débattue au HLTH 2025

« Data Opt-in-imism : pourquoi la confiance est-elle la clé du succès de l’EHDS », une question débattue au HLTH 2025

23 juin 2025 - 21:23,

Actualité

- DSIH, Mehdi Lebranchu

Le 18 juin dernier, au Salon HLTH Europe d’Amsterdam, la conférence « Data Opt-in-imism: Why trust is key to the success of EHDS » a réuni des voix institutionnelles du nord de l’Europe autour d’une question déterminante pour l’avenir du partage de données de santé : la confiance. Prévu pour 2029, l...

Illustration HLTH 2025, un Salon sous le signe de l’innovation distribuée

HLTH 2025, un Salon sous le signe de l’innovation distribuée

23 juin 2025 - 21:18,

Actualité

- DSIH, Mehdi Lebranchu

HLTH Europe 2025, qui s’est tenu cette année à Amsterdam, a offert un panorama dense et incarné de l’écosystème européen de la santé numérique. Le Salon a rassemblé géants technologiques, institutions publiques, start-up prometteuses et hôpitaux à la recherche de nouveaux modèles de collaboration. U...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.