Ransomware ESXi

Episode #399 consacré au déploiement d’un Ransomware sur des serveurs ESXi Références : – Faille exploitée – CVE-2021-21974 (à confirmer) – Exécution de code à distance sur le service OpenSLP – Déploiement d’un binaire de chiffrement + script bash : https://pastebin.com/y6wS2BXh ou https://web.archive.org/web/20230211151007/https://pastebin.com/y6wS2BXh – Code d’exploitation https://github.com/straightblast/My-PoC-Exploits/blob/master/CVE-2021-21974.py – Réponse de VMWare https://www.vmware.com/security/advisories/VMSA-2021-0002.html https://core.vmware.com/blog/reminder-vsphere-6567-end-general-support https://core.vmware.com/esxiargs-questions-answers#when-do-people-need-to-act – Sources – CERT-FR : https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-015/ – OVH: https://blog.ovhcloud.com/ransomware-ciblant-vmware-esxi/ – CNIL: https://www.cnil.fr/fr/cyberattaques-alerte-sur-la-necessaire-mise-jour-des-hyperviseurs-vmware-esxi – Script de récupération https://github.com/cisagov/ESXiArgs-Recover