De Amerikaanse overheid heeft een script gepubliceerd dat door ransomware getroffen ESXi-servers moet herstellen. Het gebruik is wel op eigen risico. "ESXiArgs-Recover" is een tool die het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft gebaseerd op openbare bronnen, waaronder een handleiding van onderzoekers Enes Sonmez en Ahmet Aykac, die eerder lieten zien hoe versleutelde ESXi-servers zijn te herstellen.

ESXi, onderdeel van VMware's vSphere, is een 'bare metal hypervisor' voor het virtualiseren van besturingssystemen. De virtualisatiesoftware wordt direct op een server geïnstalleerd en kan vervolgens het gevirtualiseerde besturingssysteem laden. In februari 2021 kwam VMWare met beveiligingsupdates voor meerdere kwetsbaarheden in de software, waaronder CVE-2021-21974. Via dit beveiligingslek kan een aanvaller op kwetsbare servers code uitvoeren. De huidige ransomware-aanvallen maken misbruik van deze kwetsbaarheid.

Het script van het CISA creëert een configuratiebestand waarmee toegang tot de virtual machines op de server kan worden verkregen. De Amerikaanse overheidsinstantie waarschuwt dat organisaties zorgvuldig moeten kijken of het script voor hun omgeving geschikt is voordat ze het uitvoeren. Verder wordt het script zonder enige garanties aangeboden en is gebruik geheel op eigen risico. Het CISA neemt dan ook geen verantwoordelijkheid voor enige schade die het script veroorzaakt.