Aggiornamenti recenti Aprile 26th, 2024 9:14 AM
Feb 06, 2023 Dario Orlandi Attacchi, Minacce, News, Ransomware, RSS 0
A partire da venerdì 3 febbraio, una nuova campagna ransomware ha colpito molti server VMware ESXi in tutto il mondo sfruttando le vulnerabilità di sicurezza CVE-2021-21972 e CVE-2021-21974, categorizzate come critiche (con punteggio di 9.8 e 8.8 su 10 nella scala Cvss).
Le vulnerabilità interessano i sistemi ESXi 6.5.x, 6.7.x e 7.x e possono essere sfruttate per creare un overflow nel servizio OpenSLP, che viene poi utilizzato da attori malintenzionati per eseguire codice arbitrario. Il problema è in realtà stato risolto con una patch distribuita da VMware quasi due anni or sono, il 23 febbraio 2021.
Per bloccare gli attacchi gli amministratori possono disabilitare il servizio Service Location Protocol (SLP) sui sistemi vulnerabili, ma la soluzione definitiva è naturalmente quella di aggiornare i sistemi.
Alcune dichiarazioni a caldo provenienti dalla Francia, e in particolare dal provider OVHcloud, hanno in un primo tempo associato gli attacchi al ransomware Nevada, ma le richieste di riscatto pubblicate sembrano provenire da una nuova famiglia di malware, che è stata denominata ESXiArgs.
La campagna ha avuto una vasta eco mediatica in Italia, dove sono stati dipinti scenari piuttosto allarmistici che hanno portato il Governo a convocare nella mattinata del 6 febbraio i vertici dell’Agenzia per la cybersicurezza e del Dipartimento informazione e sicurezza.
Da quanto emerge, l’attacco non sembra particolarmente innovativo e neppure troppo sofisticato: sono però molti i server colpiti a livello mondiale, in particolare in Francia. Una ricerca tramite Censys riporta oltre 3.200 risultati, di cui oltre un terzo si trovano appunto in territorio francese.
Seguono poi gli Stati Uniti, la Germania e il Canada, mentre l’Italia è molto più indietro: sempre stando alla rilevazione Censys, i sistemi coinvolti nel nostro Paese sono 20 contro 1.213 individuati in Francia.
Questa ricerca naturalmente potrebbe non individuare tutti i sistemi coinvolti, ma dalle informazioni disponibili non sembra che l’attacco abbia colpito su vasta scala nel nostro Paese, e neppure che abbia avuto l’Italia come bersaglio principale.
Quello che emerge ancora una volta da questa vicenda, al di là degli aspetti sensazionalistici, è un’attenzione insufficiente alla sicurezza e all’implementazione di buone pratiche; migliaia di sistemi violati sfruttando vulnerabilità note e risolte da quasi due anni indicano che c’è ancora molto lavoro da fare.
Feb 21, 2024 0
Giu 26, 2023 0
Mag 12, 2023 0
Mag 02, 2023 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...