CISA: Una vulnerabilidad crítica de VMware que permite la ejecución de código remoto (RCE) está siendo aprovechada ahora por bandas de ransomware

La Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra de Es­ta­dos Uni­dos ha aler­ta­do a los equi­pos de se­gu­ri­dad sobre la in­cor­po­ra­ción de gru­pos de ran­som­wa­re a las agre­sio­nes que apro­ve­chan una falla crí­ti­ca en VM­wa­re vCen­ter, la cual re­ci­bió un par­che en julio. Esta de­bi­li­dad, ca­ta­lo­ga­da como un pro­ble­ma de salto de di­rec­to­rio en el ser­vi­dor Sys­log de vCen­ter, per­mi­te a ata­can­tes sin au­ten­ti­ca­ción la eje­cu­ción de có­di­go ar­bi­tra­rio.

Se­ma­nas atrás, una em­pre­sa de aná­li­sis fo­ren­se de­tec­tó cien­tos de di­rec­cio­nes IP afec­ta­das en nu­me­ro­sos paí­ses des­pués de que un apa­ren­te grupo de ame­na­za per­sis­ten­te avan­za­da uti­li­za­ra la vul­ne­ra­bi­li­dad para ins­ta­lar una he­rra­mien­ta de ac­ce­so re­mo­to. Pos­te­rior­men­te, la agen­cia es­ta­dou­ni­den­se in­cor­po­ró el fallo a su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das y exi­gió a las en­ti­da­des gu­ber­na­men­ta­les la pro­tec­ción de sus sis­te­mas, ac­tua­li­zan­do re­cien­te­men­te dicha aler­ta al cons­ta­tar abu­sos por parte de ope­ra­do­res de ran­som­wa­re.

Por su parte, un mo­ni­tor de ame­na­zas en in­ter­net re­gis­tra una can­ti­dad con­si­de­ra­ble de ser­vi­do­res vCen­ter ex­pues­tos en la red, aun­que se des­co­no­ce cuán­tos han apli­ca­do las co­rrec­cio­nes ne­ce­sa­rias. Ata­can­tes en­fo­ca­dos en el ran­som­wa­re sue­len bus­car ser­vi­do­res VM­wa­re de­bi­do a que la vul­ne­ra­ción de estas pla­ta­for­mas otor­ga ac­ce­so a las redes cor­po­ra­ti­vas y a in­for­ma­ción con­fi­den­cial res­guar­da­da en sis­te­mas in­ter­nos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las ope­ra­cio­nes de ran­som­wa­re es­pe­cí­fi­cas que uti­li­zan este fallo en par­ti­cu­lar.