Italien, USA, Frankreich: Großer Cyberangriff zielt auf zwei Jahre alte Lücke
Offenbar verwenden einige Unternehmen und Organisationen weiterhin sehr unsichere virtuelle Maschinen. Die italienische Cybersicherheitsbehörde ACN warnt Firmen vor einer Hacking-Gruppe, die eine seit zwei Jahren behobene Lücke in VMWare ESXi ausnutzt. Offenbar sind davon nicht nur italienische Unternehmen betroffen. Parallel dazu melden französische, britische, US-amerikanische und kanadische Stellen Angriffe auf die VMWare-Systeme.
Es scheint sich also um einen weitreichenden Angriff zu handeln, bei dem zudem mittlerweile Schadcode auf den infizierten Systemen hinterlassen worden sein könnte. Es reicht daher nicht, den seit zwei Jahren verfügbaren Fix aufzuspielen. Eine umfangreiche Diagnose ist deshalb zusätzlich zum Patch notwendig. Laut dem Nachrichtenportal Bloomberg(öffnet im neuen Fenster) wollen sich italienische Vertreter am Montag, den 6. Februar 2023, treffen. Dann soll das weitere Vorgehen diskutiert werden.
Exploit für die Lücke einfach auffindbar
Die Warnung seitens der ACN gibt nicht bekannt, welche Sicherheitslücke genau dafür ausgenutzt wird. Allerdings wurde im Februar 2021 eine entsprechende gefährliche Lücke behoben , die schon zum damaligen Zeitpunkt seit einem Jahr bekannt war. CVE-2021-21972(öffnet im neuen Fenster) wurde vom Sicherheitsforscher Mikhail Klyuchnikov entdeckt. Er konnte damit etwa unautorisierte Anfragen an das Webpanel des vSphere-Clients senden. VSXi ist der Hypervisor von vSphere und daher direkt damit verbunden.
Die Directory-Traversal-Lücke ermöglicht es, mittels einfacher Zeichenfolgen (../) an beliebigen Stellen des verwundbaren Systems Dateien zu entpacken. Klyuchnikov konnte dadurch etwa eine JSP-Shell verstecken und aus der Ferne Befehle mit Adminrechten ausführen. Besonders problematisch ist das, weil auf Github sogar ein Exploit kostenlos(öffnet im neuen Fenster) und leicht abrufbar ist.
Da vSphere ohne zusätzliche Einstellungen seitens der User aus dem Web erreichbar sind, ist der Dienst also stets durch die Lücke angreifbar. Eine böswillige Partei müsste nur massenweise nach nicht aktualisierten Geräten scannen und könnte so auf diverse Dienste zugreifen.