Attacken auf VMware vCenter durch Path-Traversal-Lücke

Angreifer haben eine kritische Schwachstelle im Syslog-Server von VMware vCenter ausgenutzt, die es ihnen ermöglicht, bösartigen Code zu injizieren und auszuführen.

Am Dienstag dieser Woche identifizierten sie 361 IP-Adressen, die mit kompromittierten VMware vCenter-Instanzen verbunden waren. Von diesen befanden sich 55 in Deutschland, gefolgt von den Vereinigten Staaten mit 41 Adressen und der Türkei mit 38. Die Angriffskampagne begann kurz nach der Enthüllung der Schwachstelle am 29. Juli. Die ersten infizierten Systeme kontaktierten die Infrastruktur des Angreifers fünf Tage später, beginnend am 3. August. Innerhalb von zwei Tagen waren 343 der 361 IP-Adressen bereits erkannt worden. Die Angreifer verwendeten eine Technik namens "reverse_ssh", ein Open-Source-SSH-basiertes Reverse-Shell-Framework, das typischerweise während der Penetrationstests verwendet wird.

Dieses Tool ermöglicht automatisierte Verbindungen, Port-Weiterleitung, Dateiübertragung und Remote-Shell-Management. Diese Fähigkeiten erlaubten den Angreifern, einen dauerhaften Zugriff auf die kompromittierten Netzwerke zu erhalten. IT-Administratoren werden empfohlen, zu überprüfen, ob ihre VMware vCenter Syslog-Server auf dem neuesten Stand sind und auf unerwartete Software wie reverse_ssh zu achten, die auf ihren Systemen ausgeführt wird. Die Ausnutzung dieser Schwachstelle unterstreicht die Bedeutung eines rechtzeitigen Patch-Managements in Unternehmensumgebungen. Viele Organisationen verlassen sich stark auf VMware vCenter für die Verwaltung virtualisierter Infrastrukturen und sind somit Hauptanliegen für Cyberkriminelle, die unberechtigten Zugriff erlangen möchten.

Das Ausmaß der Kompromittierung deutet darauf hin, dass der Angriff möglicherweise von gut ausgestatteten Akteuren orchestriert wurde, die in der Lage sind, anspruchsvolle Techniken einzusetzen, um der Erkennung zu entgehen. Sicherheitsexperten warnen, dass die unmittelbare Bedrohung durch die Aktualisierung von Systemen abgeschwächt wurde, das Potenzial für langfristige Schäden jedoch besteht. Kompromittierte Systeme könnten als Einstiegspunkte für weitere Angriffe dienen, die möglicherweise zu Datenschutzverletzungen, Ransomware-Einsatz oder anderen Formen von Cyberkriminalität führen. Das Vorhandensein von reverse_ssh deutet darauf hin, dass die Angreifer möglicherweise einen Fuß in das Netzwerk gesetzt haben, wodurch sie sich lateral bewegen und sensible Informationen exfiltrieren können.

Während sich die Situation entwickelt, werden IT-Experten aufgefordert, gründliche Audits ihrer Infrastruktur durchzuführen und zusätzliche Überwachungstools einzuführen, um anomale Aktivitäten zu erkennen. Die mangelnde öffentliche Offenlegung von laufenden Angriffen bedeutet, dass viele Organisationen sich ihrer Exposition möglicherweise noch nicht bewusst sind.