Aanvallers gebruiken legitieme VMware managementinterfaces om ESXi-omgevingen te gijzelen, zonder hypervisorkwetsbaarheden te exploiteren.
Een recente aanval waarbij de virtualisatieomgeving van een organisatie over een periode van tien dagen werd vernietigd, toont aan hoe ransomware-groepen de hypervisorlaag misbruiken. De campagne richtte zich op vier ESXi-hosts, alle virtuele machines daarop, twee vCenter Server Appliances en de gekoppelde back-upinfrastructuur. De aanvallers, geïdentificeerd als de BlackNevas-groep die voor het eerst werd waargenomen in november 2024, maakten geen gebruik van kwetsbaarheden in de virtualisatielaag zelf. In plaats daarvan werden alle acties uitgevoerd via legitieme VMware managementinterfaces.
De beschikbaarheid van de Babuk ransomware broncode sinds september 2021, inclusief een versie voor ESXi, heeft het voor cybercriminelen met beperkte technische kennis mogelijk gemaakt om ESXi-ransomware te ontwikkelen. Minstens tien ransomwarefamilies hebben deze code gebruikt, waaronder groepen die anders niet over de expertise beschikten om ESXi-compatibele ransomware te maken. Vaak worden Babuk-afgeleide ESXi-lockers gecombineerd met gelekte Windows-versies van LockBit. De getroffen organisaties draaiden vaak niet-ondersteunde ESXi-versies, wat de aanval vergemakkelijkte.
Virtualisatie verandert de dynamiek van ransomware-aanvallen doordat het aantal controlepunten afneemt en de impact bij een succesvolle aanval veel groter is. Waar een compromis in een niet-gevirtualiseerde omgeving meestal één besturingssysteem treft, kan een aanval op de virtualisatiebeheerlaag toegang geven tot meerdere hypervisorhosts en virtuele machines tegelijk. Dit maakt het essentieel om de toegangspaden naar de virtualisatielaag goed te beveiligen en monitoring te verbeteren.
De aanval illustreert hoe aanvallers via Active Directory-integratie, hergebruik van Windows-credentials en het misbruiken van back-upinfrastructuur persistentie op de managementlaag kunnen vestigen. Daarnaast wordt de configuratie van ESXi via vCenter gezien als een vertrouwensgrens die bij misbruik leidt tot ernstige beveiligingsproblemen. Het artikel bespreekt ook detectiemogelijkheden, zoals het monitoren van legitieme VMware-logbestanden en het herkennen van afwijkend gedrag in de managementomgeving.
Als reactie op dergelijke dreigingen wordt aanbevolen om vCenter als een Tier 0-systeem te behandelen, virtualisatie-identiteiten strikt te scheiden van reguliere enterprise-administratie, directe ESXi-beheerpaden te beperken en logging onafhankelijk van de host te maken. Ook moet back-upinfrastructuur als een aparte beveiligingsgrens worden ontworpen. Deze maatregelen helpen om de impact van ransomware op de virtualisatielaag te beperken en incidentrespons te verbeteren.
