بلایی که هکرها برسر هزاران سرور آوردند
هزاران سرور در کشورهای مختلف در مجموعه‌ای از حملات سایبری در معرض خطر قرار گرفته و به باج‌افزار آلوده شده‌اند.
سرورهای پرشماری در سراسر دنیا تحت مجموعه‌ای از حملات سایبری قرار گرفته‌اند که ظاهراً از آسیب‌پذیری دو سال پیش ابزار مدیریتی VMware در مجموعه‌های ابری استفاده می‌کنند. این حملات با نصب باج‌افزار بسیاری از سرورها را دچار مشکل کرده‌اند.
به‌گزارش ArsTechnica، هکرها از آسیب‌پذیری برنامه هایپروایزر VMware موسوم به ESXi استفاده می‌کنند که به شرکت‌های ارائه‌دهنده خدمات میزبانی ابری و دیگر کسب‌وکارهای بزرگ فروخته می‌شود تا در مدیریت منابع سخت‌افزاری به آن‌ها کمک کند.
ESXi یک هایپروایزر نوع ۱ است، یعنی سیستم‌عامل خودش را روی سرورها اجرا می‌کند. در آن سو، سرورهایی که از هایپروایزرهای نوع ۲ مثل VirtualBox استفاده می‌کنند، برنامه‌های خود را روی سیستم‌عامل میزبان اجرا می‌کنند.
تیم‌های واکنش اضطراری (CERT) در فرانسه، ایتالیا و اتریش می‌گویند تاکنون بیش از ۳۲۰۰ سرور به این باج‌افزارها آلوده شده‌اند. البته چون سرورهای ESXi تعداد زیادی سیستم را به‌صورت ماشین مجازی می‌سازند، این رقم در عمل باید چندین برابر باشد.
آسیب‌پذیری ESXi همان موقع با عنوان وخیم معرفی شده بود
هکرها برای حملات خود از آسیب‌پذیری CVE-2021-21974 استفاده کرده‌اند که از سرریز بافر در OpenSLP به‌وجود می‌آید. زمانی که VMware این مشکل را در ماه فوریه ۲۰۲۱ اصلاح کرد، به مشتریان خود هشدار داد که هکرها می‌توانند از طریق پورت ۴۲۷ از این آسیب‌پذیری سوءاستفاده کنند. این ایراد نمره وخامت ۸.۸ از ۱۰ را دریافت کرده بود.
شرکت میزبانی ابری OVH در بیانیه‌ای در این باره اعلام کرده است که نمی‌تواند سرورهای پیکربندی‌شده توسط مشتریان خود را از این آسیب‌پذیری رها کند: «ما براساس لاگ‌های خودکار چندین طرح را برای شناسایی سرورهای در معرض خطر با ESXI راه‌اندازی کردیم. [ولی] اکنون فقط می‌توانیم اقدامات محدودی انجام دهیم، چون به سرورهای مشتریانمان دسترسی منطقی نداریم.»
متخصصان از این حمله سایبری و باج‌افزاری آن با عنوان ESXiArgs یاد می‌کنند، چون این بدافزار پس از رمزنگاری اسناد، فایل‌هایی با پسوند args. می‌سازد. این فایل‌ها ظاهراً حاوی داده‌هایی است که امکان رمزگشایی از اطلاعات رمزنگاری‌شده را فراهم می‌کنند.
افرادی که دارای سرورهای مجهز به ESXi هستند، بهتر است هرچه سریع‌تر مطمئن شوند که پچ مربوط به آسیب‌پذیری CVE-2021-21974 روی سرور آن‌ها نصب شده باشد.
نظر شما