El ransomware BlackByte ha aprovechado una reciente vulnerabilidad de omisión de autenticación en VMware ESXi para comprometer la infraestructura central de las redes empresariales. Esta vulnerabilidad, identificada como CVE-2024-37085, permite a un atacante con acceso suficiente en Active Directory (AD) obtener acceso completo a un host ESXi si este utiliza AD para la administración de usuarios.
Microsoft y otros proveedores de seguridad identificaron previamente grupos de ransomware como Black Basta, Manatee Tempest, Scattered Spider y Storm-1175 que aprovechan CVE-2024-37085 para implementar cepas de ransomware. En estos ataques, los adversarios usan sus privilegios en AD para crear o cambiar el nombre de un grupo llamado «ESX Admins» y luego usarlo para acceder al hipervisor ESXi como usuario con privilegios completos.
El uso de la vulnerabilidad por parte de BlackByte representa un giro en su práctica habitual, que consistía en escanear y explotar vulnerabilidades públicas, como la falla ProxyShell en Microsoft Exchange. Los investigadores de Cisco Talos describieron esta táctica como uno de varios cambios realizados recientemente para mantenerse por delante de los defensores. Otros cambios incluyen el uso de BlackByteNT, un nuevo cifrador escrito en C/C++, que agrega hasta cuatro controladores vulnerables y utiliza las credenciales AD de la organización víctima para autopropagarse.
La investigación de Talos demostró que las organizaciones del sector de servicios profesionales, científicos y técnicos son más vulnerables a ataques que implican el uso de controladores legítimos pero vulnerables. Esta técnica se conoce como Bring Your Own Vulnerable Driver (BYOVD).
Fases comunes de ataque de virtualización
- Acceso inicial: Los actores de amenazas obtienen acceso a la organización mediante técnicas establecidas, como ataques de phishing o explotación de vulnerabilidades.
- Movimiento lateral y escalamiento de privilegios: Al obtener acceso, los atacantes aumentan sus privilegios para obtener credenciales para hosts ESXi o vCenter. Esta escalada puede lograrse mediante alterar membresías de grupos de dominio, ataques de fuerza bruta o secuestro de RDP.
- Validación de acceso: Los actores validan su capacidad para interactuar con la infraestructura virtualizada. Si se deniega el acceso directo, utilizan vCenter para habilitar SSH en todos los servidores ESXi y pueden restablecer contraseñas o ejecutar comandos remotos mediante paquetes de instalación personalizados.
- Implementación de ransomware virtualizado: Los actores utilizan su acceso para conectarse a ESXi y ejecutar el ransomware en los hosts ESXi.
- Compromiso de las copias de seguridad: Los actores intentan tomar control de los sistemas de respaldo, cifrando o eliminando el almacenamiento de respaldo para obstaculizar la recuperación.
- Exfiltración de datos: Los actores a menudo implementan un esquema de doble extorsión, exfiltrando datos a ubicaciones externas y divulgarlos públicamente para causar daño adicional a la reputación.
- Ejecución de ransomware: En este punto, los actores apagan todas las máquinas virtuales e inician un ransomware que cifra la carpeta «/vmfs/volumes» del sistema de archivos ESXi.
- Implementación adicional de ransomware: Los actores que obtienen acceso previo a mecanismos como SCCM o AD pueden propagar ransomware adicional a servidores y estaciones de trabajo no virtualizados, amplificando el impacto del ataque.
Recomendaciones para defensores
- Implementar MFA para todos los accesos remotos y conexiones a la nube. Priorice el «push verificado» como método MFA sobre opciones menos seguras como SMS o llamadas telefónicas.
- Auditar la configuración de VPN. Confirme que se eliminen las políticas heredadas y que los intentos de autenticación no coincidentes con una política actual se rechacen. Restrinja el acceso a segmentos necesarios, limitando la exposición de activos críticos.
- Configurar alertas para cualquier cambio en grupos privilegiados. Asegúrese de que los privilegios administrativos se otorguen solo cuando sea necesario y se auditen rutinariamente. Utilice una solución PAM para optimizar el control y la supervisión de cuentas privilegiadas.
- Limitar o deshabilitar el uso de NTLM cuando sea posible y aplicar métodos más seguros como Kerberos. Limite la tasa de intentos y fallas en interfaces internas y externas para evitar escaneo automatizado.
- Desactivar SMBv1 y aplicar firma y cifrado de SMB. Para proteger contra el movimiento lateral y propagación de malware.
- Implementar clientes EDR en todos los sistemas del entorno. Configure una contraseña de administrador para evitar manipulación o eliminación no autorizada del cliente.
- Deshabilitar las cuentas de proveedores y capacidades de acceso remoto cuando no estén en uso activo.
- Crear detecciones de cambios de configuración no autorizados. Incluya cambios en políticas de Windows Defender, objetos de política de grupo, tareas programadas y servicios instalados inusuales.
- Desarrollar y documentar procedimientos para restablecer contraseñas empresariales. Para garantizar que todas las credenciales se puedan restablecer rápida y completamente. Incluya procedimientos para transferir tickets Kerberos críticos en esta documentación.
- Reforzar y parchear los hosts ESX. Para reducir la superficie de ataque y garantizar que las vulnerabilidades recién descubiertas se corrijan lo más rápido posible.