Attaque de VMware vCenter par une faille de traverse de chemin

Les attaquants ont exploité une vulnérabilité critique dans le serveur Syslog de VMware vCenter, leur permettant d'injecter et d'exécuter du code malveillant.

Les attaquants ont identifié 361 adresses IP associées à des instances compromises de VMware vCenter. Parmi celles-ci, 55 étaient situées en Allemagne, suivies des États-Unis avec 41 adresses et de la Turquie avec 38. La campagne d'attaque a commencé peu de temps après la divulgation de la vulnérabilité le 29 juillet. Les premiers systèmes infectés ont contacté l'infrastructure de l'attaquant cinq jours plus tard, à partir du 3 août. Dans les deux jours, 343 des 361 adresses IP avaient déjà été détectées. Les attaquants ont utilisé une technique appelée " reverse_ssh ", un framework de coque inversée open source basé sur SSH généralement utilisé lors des tests de pénétration.

L'exploitation de cette vulnérabilité souligne l'importance de la gestion des correctifs en temps opportun dans les environnements d'entreprise. De nombreuses organisations comptent beaucoup sur VMware vCenter pour gérer les infrastructures virtualisées, ce qui en fait des cibles principales pour les cybercriminels qui cherchent à obtenir un accès non autorisé.

L'ampleur du compromis suggère que l'attaque a peut-être été orchestrée par des acteurs bien dotés de ressources capables de déployer des techniques sophistiquées pour échapper à la détection. Les experts en sécurité avertissent que si la menace immédiate a été atténuée par la mise à jour des systèmes, le potentiel de dommages à long terme reste. Les systèmes compromis pourraient servir de points d'entrée pour de nouvelles attaques, conduisant potentiellement à des violations de données, au déploiement de ransomware ou à d'autres formes de cybercriminalité. La présence de reverse_ssh indique que les attaquants peuvent avoir établi un pied au sein du réseau, leur permettant de se déplacer latéralement et d'exfiltrer des informations sensibles.

La société a publié des correctifs, mais l'efficacité de ces solutions dépend de l'action rapide des administrateurs de système. Jusqu'à ce que tous les systèmes vulnérables soient corrigés, le risque de poursuite de l'exploitation persiste.