Mobile-Menu

Microsoft warnt vor Angriffen auf VMware Ransomware-Attacken auf VMware ESXi-Server

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Derzeit gibt es laut Microsoft-Sicherheitsforschern Angriffe auf ESXi-Server von VMware. Mehrere Ransomware-Operatoren nutzen die Sicherheitslücke CVE-2024-37085 für Attacken aus. Updates stehen bereits zur Verfügung.

Aktuell laufen Ransomware-Attacken auf VMware ESXi-Server.(Bild: Afiq Sam - stock.adobe.com)
Aktuell laufen Ransomware-Attacken auf VMware ESXi-Server.
(Bild: Afiq Sam - stock.adobe.com)

Sicherheitsforscher bei Microsoft haben darüber informiert, dass durch Schwachstellen in VMware ESXi Angriffe möglich sind.

Schwachstellen in VMware ESXi-Server: Angriffe auf das System laufen

Microsoft macht die Sicherheitslücke CVE-2024-37085 für Angriffe auf ESXi verantwortlich. Die gefundene Schwachstelle wird derzeit von mehreren Ransomware-Operatoren ausgenutzt wird, um vollständige administrative Berechtigungen auf Domänen-verbundenen ESXi-Hypervisoren zu erlangen. Die vollständige administrative Berechtigung ermöglicht es Angreifern, das Dateisystem zu verschlüsseln.

Die entdeckte Schwachstelle CVE-2024-37085 betrifft eine Domain-Gruppe, deren Mitglieder standardmäßig ohne ordnungsgemäße Validierung volle Administratorrechte erhalten. VMware hat dazu bereits ein Sicherheitsupdate veröffentlicht. Die Schwachstelle wird von Ransomware-Gruppen wie Storm-0506 und Storm-1175 aktiv ausgenutzt, was zu Einsätzen von Ransomware wie Akira und Black Basta geführt hat. Angreifer nutzen Techniken wie das Erstellen einer Gruppe namens "ESX Admins" und das Hinzufügen eines Benutzers zu dieser Gruppe, um ihre Privilegien zu erweitern. Der erfolgreiche Exploit führt zu vollständigem administrativen Zugriff, was die Verschlüsselung des Dateisystems und potenziellen Datenabfluss ermöglicht.

Rapid 7 und Broadcom haben die Lücke ebenfalls untersucht

Broadcom hat bereits am 25. Juni ein Advisory veröffentlicht, das die Behebung mehrerer Probleme, einschließlich CVE-2024-37085, ankündigte. Bemerkenswerterweise weicht die Beschreibung von Broadcom von derjenigen von Microsoft ab. Während Broadcom angibt, dass „ESXi Admins“ die standardmäßige AD-Gruppe ist, bezeichnet Microsoft die Gruppe als „ESX Admins“ und weist darauf hin, dass ESXi-Hypervisoren bei der Domänenverknüpfung keine Überprüfung durchführen, ob eine solche Gruppe tatsächlich existiert. Diese Unterschiede können auf Verwirrung oder unterschiedliche Interpretationen der Standardkonfiguration hinweisen.

Zusätzlich zur detaillierten Analyse von Microsoft haben Forscher von Rapid7 eine Bewertung von CVE-2024-37085 im AttackerKB bereitgestellt. Die Schwachstelle wurde als Technik nach der Kompromittierung verwendet, unter anderem von Ransomware-Operatoren wie Storm-0506, Storm-1175, Octo Tempest und Manatee Tempest. Microsoft identifizierte drei Methoden zur Ausnutzung von CVE-2024-37085: das Hinzufügen der Gruppe „ESX Admins“ zur Domäne und das Hinzufügen eines Benutzers (wie in der Praxis beobachtet), das Umbenennen einer bestehenden Gruppe in „ESX Admins“ und das Hinzufügen eines Benutzers oder die Nutzung eines bestehenden Gruppenmitglieds sowie das Aktualisieren der Privilegien des ESXi-Hypervisors. Diese Methoden ermöglichen es Angreifern, administrative Zugriffsrechte zu erlangen und das Dateisystem des Hypervisors zu verschlüsseln, was die Funktionsfähigkeit der gehosteten virtuellen Maschinen beeinträchtigen kann.

(ID:50120988)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte