Attacchi a VMware vCenter attraverso la breccia di traverso del percorso

Gli attaccanti hanno sfruttato una vulnerabilità critica nel Syslog Server di VMware vCenter, consentendo loro di iniettare ed eseguire codice dannoso. La violazione è stata identificata dai ricercatori di sicurezza informatica di Quirso, che hanno dettagliato le loro scoperte sulla piattaforma Medium.

A partire da martedì di questa settimana, hanno identificato 361 indirizzi IP associati a istanze compromesse di VMware vCenter. Di questi, 55 si trovavano in Germania, seguiti dagli Stati Uniti con 41 indirizzi e dalla Turchia con 38. La campagna di attacco è iniziata poco dopo la divulgazione della vulnerabilità il 29 luglio. I primi sistemi infetti hanno contattato l'infrastruttura dell'attaccante cinque giorni dopo, a partire dal 3 agosto. Entro due giorni, 343 dei 361 indirizzi IP erano già stati rilevati. Gli attaccanti hanno utilizzato una tecnica chiamata "reverse_ssh", un framework reverse-shell open source basato su SSH tipicamente utilizzato durante i test di penetrazione.

Questo strumento consente connessioni automatizzate, inoltro di porte, trasferimento di file e gestione remota della shell. Queste funzionalità hanno permesso agli aggressori di mantenere l'accesso persistente all'interno delle reti compromesse. Gli amministratori IT sono invitati a verificare se i loro VMware vCenter Syslog Server sono aggiornati e a monitorare software inaspettati come reverse_ssh in esecuzione sui loro sistemi. Lo sfruttamento di questa vulnerabilità evidenzia l'importanza della gestione tempestiva delle patch in ambienti aziendali. Molte organizzazioni si affidano fortemente a VMware vCenter per la gestione di infrastrutture virtualizzate, rendendole bersagli principali per i criminali informatici che cercano di ottenere accesso non autorizzato.

La scala del compromesso suggerisce che l'attacco potrebbe essere stato orchestrato da attori con risorse sufficienti in grado di implementare tecniche sofisticate per eludere il rilevamento. Gli esperti di sicurezza avvertono che, mentre la minaccia immediata è stata mitigata dall'aggiornamento dei sistemi, il potenziale per danni a lungo termine rimane. I sistemi compromessi potrebbero servire come punti di ingresso per ulteriori attacchi, portando potenzialmente a violazioni dei dati, distribuzione di ransomware o altre forme di criminalità informatica. La presenza di reverse_ssh indica che gli aggressori potrebbero aver stabilito un punto d'appoggio all'interno della rete, consentendo loro di muoversi lateralmente ed estrarre informazioni sensibili.

Mentre la situazione si sviluppa, i professionisti IT sono invitati a condurre audit approfonditi delle loro infrastrutture e implementare strumenti di monitoraggio aggiuntivi per rilevare attività anomale. La mancanza di divulgazione pubblica sugli attacchi in corso significa che molte organizzazioni potrebbero ancora non essere consapevoli della loro esposizione. Mentre Broadcom ha rilasciato patch, l'efficacia di queste soluzioni dipende dall'azione tempestiva degli amministratori di sistema. Fino a quando tutti i sistemi vulnerabili non saranno patchati, il rischio di sfruttamento continuo persiste.