CISA: Una vulnerabilidad crítica de VMware que permite la ejecución de código remoto (RCE) está siendo aprovechada ahora por bandas de ransomware

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos ha alertado a los equipos de seguridad sobre la incorporación de grupos de ransomware a las agresiones que aprovechan una falla crítica en VMware vCenter, la cual recibió un parche en julio. Esta debilidad, catalogada como un problema de salto de directorio en el servidor Syslog de vCenter, permite a atacantes sin autenticación la ejecución de código arbitrario.

Semanas atrás, una empresa de análisis forense detectó cientos de direcciones IP afectadas en numerosos países después de que un aparente grupo de amenaza persistente avanzada utilizara la vulnerabilidad para instalar una herramienta de acceso remoto. Posteriormente, la agencia estadounidense incorporó el fallo a su catálogo de vulnerabilidades explotadas y exigió a las entidades gubernamentales la protección de sus sistemas, actualizando recientemente dicha alerta al constatar abusos por parte de operadores de ransomware.

Por su parte, un monitor de amenazas en internet registra una cantidad considerable de servidores vCenter expuestos en la red, aunque se desconoce cuántos han aplicado las correcciones necesarias. Atacantes enfocados en el ransomware suelen buscar servidores VMware debido a que la vulneración de estas plataformas otorga acceso a las redes corporativas y a información confidencial resguardada en sistemas internos.

El artículo original no aporta más detalle sobre las operaciones de ransomware específicas que utilizan este fallo en particular.