Ransomwareangriffe: Hacker nutzen ESXi-Lücke für Admin-Zugriff aus
Sicherheitsforscher von Microsoft Threat Intelligence haben eine Schwachstelle in VMware ESXi entdeckt, die bereits aktiv für Ransomwareangriffe ausgenutzt wird und es den Angreifern ermöglicht, sich administrative Rechte auf ESXi-Hosts zu verschaffen. Damit das gelingt, ist allerdings vorab ein Zugriff auf das Active Directory (AD) der Zielorganisation erforderlich.
Nach Angaben der Microsoft-Forscher(öffnet im neuen Fenster) erstellen die Angreifer im AD eine Gruppe mit der Bezeichnung "ESX Admins" und fügen dort anschließend einen unter ihrer Kontrolle befindlichen Benutzer hinzu. Damit erhalten sie automatisch Admin-Zugriff auf per AD verwaltete ESXi-Hosts, da die Mitglieder der genannten Gruppe aufgrund der Sicherheitslücke standardmäßig als Administratoren eingestuft werden.
Die Schwachstelle ist als CVE-2024-37085(öffnet im neuen Fenster) registriert und erreicht mit einem CVSS-Wert von 6,8 lediglich einen mittleren Schweregrad. Für ESXi 8.0 hat Broadcom einen Patch bereitgestellt(öffnet im neuen Fenster) . Version 7.0 ist zwar auch von der Sicherheitslücke betroffen, erhält aber laut Hersteller keinen Patch. Administratoren, die ihre Systeme schützen wollen, werden in diesem Fall lediglich auf einen Workaround verwiesen(öffnet im neuen Fenster) .
Laufende Angriffe auf ESXi-Hosts
Microsofts Sicherheitsforscher beobachteten die Ausnutzung von CVE-2024-37085 bei mehreren Hackergruppen. Konkret benennen sie in ihrem Bericht die Gruppen Storm-0506, Storm-1175, Octo Tempest und Manatee Tempest. Diese sollen die Schwachstelle jeweils eingesetzt haben, um ESXi-Systeme mit allen darauf gehosteten VMs mit Ransomware wie Akira oder Black Basta zu verschlüsseln, Daten zu exfiltrieren und sich innerhalb des Zielnetzwerkes fortzubewegen.
Die Forscher betonen, dass mit der Sicherheitslücke jeder Nutzer, der die Berechtigung hat, AD-Gruppen zu erstellen oder umzubenennen, sämtliche mit der jeweiligen Domäne verbundenen ESXi-Hypervisoren übernehmen kann. Dafür braucht es nicht zwingend den Zugriff auf ein Domain-Admin-Konto, wie auch der unabhängige Sicherheitsforscher Kevin Beaumont in einem Mastodon-Beitrag hervorhebt(öffnet im neuen Fenster) .