RVTools es una herramienta gratuita para Windows que permite a los administradores recopilar y analizar información sobre entornos VMware vSphere. Esta utilidad proporciona datos sobre máquinas virtuales, hosts, almacenes de datos, discos, tarjetas de interfaz de red virtual, redes y conmutadores virtuales, así como instantáneas de máquinas virtuales. Originalmente desarrollada por Rob de Veij, la herramienta fue adquirida posteriormente por Dell Technologies.
Ataques a usuarios que buscan RVTools
Los delincuentes suelen utilizar dominios similares y anuncios maliciosos en Google para engañar a los usuarios y hacerles descarguen malware falsificando la identidad de RVTools. En este caso, se ha detectado que el sitio web oficial de la herramienta también fue comprometido.
Compromiso del sitio web oficial
Según un investigador de seguridad, el sitio web oficial de RVTools había sido hackeado para ofrecer una versión maliciosa de la utilidad. El sitio se encontró inactivo desde el viernes y comenzó a mostrar un mensaje durante el fin de semana. Los sitios legítimos, Robware.net y RVTools.com, han sido objeto de ataques de denegación de servicio (DOS). Como medida preventiva, los administradores desactivaron temporalmente estos sitios.
«Hemos identificado sitios web falsos diseñados para imitar nuestros sitios web y que podrían estar distribuyendo malware. Para el software RVTools, los únicos sitios administrados por Dell son Robware.net y RVTools.com. Los clientes no deben buscar ni descargar software RVTools supuestamente de otros sitios web o fuentes».
Detección del malware en instalador
Un investigador, Aidan Leon, alertó sobre la presencia de un instalador malicioso. Un empleado intentó instalar RVTools y poco después el sistema detectó un archivo sospechoso llamado version.dll, que intentaba ejecutarse desde el mismo directorio del instalador.
Al comprobar el archivo con VirusTotal, se confirmó que la variante de RVTools se envió por primera vez el lunes (12/5), lo que sugiere que el sitio web fue comprometido entre las 8:00 y las 11:00 del mismo día. Alrededor de las 15:00 del martes, el sitio web fue desactivado y se subió una versión segura de RVTools.
Malware Bumblebee en instalador
VirusTotal afirma que el instalador malicioso contiene un cargador de malware Bumblebee, utilizado frecuentemente por actores de amenazas para obtener acceso inicial y distribuir cargas útiles como ransomware y marcos de post-explotación.
Busquedas en Google pueden llevar a sitios falsos
Una simple búsqueda en Google o DuckDuckGo muestra rvtools[.]org, un dominio similar al de RVTools que se autoproclama oficial, como primer resultado. Según VirusTotal, el instalador ofrecido en ese sitio es malicioso.
Recomendaciones para usuarios
Los sitios siguen inaccesibles. Si debe descargarse RVTools antes de que vuelvan a estar disponibles, se recomienda verificar el hash del instalador legítimo.