Criminelen maken al enige tijd actief misbruik van een recente kwetsbaarheid in VMware ESXi voor het uitvoeren van ransomware-aanvallen. VMware kwam op 25 juni met updates voor het beveiligingslek, maar misbruik vond al voor het uitkomen van de patch plaats, aldus Microsoft dat het probleem aan VMware rapporteerde.

ESXi, onderdeel van VMware's vSphere, is een 'bare metal hypervisor' voor het virtualiseren van besturingssystemen. De virtualisatiesoftware wordt direct op een server geïnstalleerd en kan vervolgens het gevirtualiseerde besturingssysteem laden. Via de kwetsbaarheid aangeduid als CVE-2024-37085 kan een aanvaller met voldoende Active Directory (AD) permissies volledige toegang tot een ESXi-host krijgen, aldus de summiere uitleg van Broadcom.

Microsoft stelt het volgende: "VMware ESXi-hypervisors die worden gekoppeld aan een Active Directory domein vinden dat elk lid van een domeingroep genaamd "ESX Admins" standaard volledige adminrechten heeft. Deze groep is geen ingebouwde groep in Active Directory en bestaat standaard niet. ESXi-hypervisors valideren niet dat een dergelijke groep bestaat wanneer de server aan een domein wordt gekoppeld en behandelen elk lid van een groep met deze naam als het beschikken over volledige admintoegang, ook al bestond de groep in eerste instantie niet."

Volgens het techbedrijf kunnen aanvallers op verschillende manieren misbruik van het lek maken. Microsoft heeft in het wild aanvallen waargenomen waarbij aanvallers eerst de groep 'ESX Admins' aanmaken en dan een gebruiker aan de groep toevoegen. Via de aanval krijgt de aanvaller admintoegang tot de ESXi-hypervisor en kan dan het bestandssysteem van de hypervisor versleutelen, wat impact heeft op het functioneren van de server. Ook kan de aanvaller toegang tot gehoste virtual machines krijgen om bijvoorbeeld data te stelen of zich lateraal door het netwerk te bewegen. Microsoft stelt niet precies wanneer de aanvallen via het ESXi-lek plaatsvinden, maar spreekt over 'eerder dit jaar'. Organisaties worden opgeroepen de beschikbaar gestelde patch te installeren.