Nhóm BlackNevas khai thác hypervisor để tấn công ESXi và vCenter
Một nhóm tấn công được gọi là BlackNevas đã sử dụng hypervisor để tấn công hệ thống ESXi và vCenter của một tổ chức, gây ra tổn thất nghiêm trọng trong 10 ngày. Tấn công này không khai thác lỗ hổng trong hypervisor mà sử dụng công cụ ransomware từ Babuk để mã hóa dữ liệu và yêu cầu tiền chuộc.
Một nhóm tấn công được gọi là BlackNevas đã sử dụng hypervisor để tấn công hệ thống ESXi và vCenter của một tổ chức, gây ra tổn thất nghiêm trọng trong 10 ngày. Tấn công này không khai thác lỗ hổng trong hypervisor mà sử dụng công cụ ransomware từ Babuk để mã hóa dữ liệu và yêu cầu tiền chuộc.
Điểm chính
- Nhóm BlackNevas tấn công ESXi và vCenter mà không khai thác lỗ hổng.
- Tấn công này sử dụng công cụ ransomware từ Babuk.
- Hypervisor layer trở thành mục tiêu hấp dẫn cho ransomware do khả năng ảnh hưởng rộng lớn.
- Threat actors có thể sử dụng công cụ ransomware từ Babuk để tấn công hệ thống ESXi mà không cần kỹ năng cao.
Khuyến nghị
- Cập nhật và bảo dưỡng hệ thống ESXi và vCenter thường xuyên.
- Sử dụng giải pháp bảo mật tích hợp không cần cài đặt trên ESXi.
- Theo dõi và giám sát giao diện quản lý hypervisor chặt chẽ.
Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn Kaspersky Securelist. Vui lòng đối chiếu bài gốc trước khi sử dụng.
🛡️ Thông tin lỗ hổng liên quan (11)
Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AIVMware vCenter Server — Vulnerability Lỗ hổng Thực thi Mã từ xa VMware vCenter Server. Đưa vào KEV ngày 2021-11-03, hạn khắc phục với cơ quan liên bang Mỹ: 2021-11-17. Yêu cầu: Áp dụng các bản cập nhật theo hướng dẫn nhà sản xuất.
Mô tả: Phần mềm vSphere Client (HTML5) chứa một lỗ hổng thực thi mã từ xa trong một plugin của vCenter Server. Một đối tác ác ý có truy cập mạng đến cổng 443 có thể khai thác vấn đề này để thực thi các lệnh với quyền truy cập không giới hạn trên hệ điều hành cơ sở mà vCenter Server được-host. Điều này ảnh hưởng đến VMware vCenter Server (7.x trước 7.0 U1c, 6.7 trước 6.7 U3l và 6.5 trước 6.5 U3n) và VMware Cloud Fo…
VMware vCenter Server — Lỗ hổng Tải lên tệp VMware vCenter Server. Đưa vào KEV ngày 2021-11-03, hạn khắc phục với cơ quan liên bang Mỹ: 2021-11-17. Yêu cầu: Áp dụng cập nhật theo hướng dẫn nhà sản xuất.
Dịch vụ Analytics của vCenter Server chứa một lỗ hổng tải lên tệp tùy ý. Một đối tác ác ý có truy cập mạng đến cổng 443 trên vCenter Server có thể khai thác vấn đề này để thực thi mã trên vCenter Server bằng cách tải lên một tệp được tạo đặc biệt.
OpenSLP 在 ESXi 中使用（7.0 版本在 ESXi70U1c-17325551 之前，6.7 版本在 ESXi670-202102401-SG 之前，6.5 版本在 ESXi650-202102101-SG 之前）存在堆溢出漏洞。位于与 ESXi 相同网络段内的恶意行为者，如果可以访问端口 427，则可能触发 OpenSLP 服务的堆溢出问题，从而导致远程代码执行。
VMware vCenter Server — Lỗ hổng Kiểm tra Đầu vào Không Đủ của VMware vCenter Server. Đưa vào KEV ngày 2021-11-03, hạn khắc phục với cơ quan liên bang Mỹ: 2021-11-17. Yêu cầu: Áp dụng các bản cập nhật theo hướng dẫn nhà sản xuất.
Mô tả: Phần mềm vSphere Client (HTML5) chứa một lỗ hổng thực thi mã từ xa do thiếu kiểm tra đầu vào trong plug-in Kiểm tra Sức khỏe Virtual SAN, được kích hoạt mặc định trong vCenter Server. Một đối tác ác ý có truy cập mạng đến cổng 443 có thể khai thác vấn đề này để thực thi các lệnh với quyền truy cập không giới hạn trên hệ điều hành cơ sở mà vCenter Server được-host.
VMware vCenter Server — Lỗ hổng Ghi Ngoài Ranh Giới vCenter Server của VMware. Đưa vào KEV ngày 2024-01-22, hạn khắc phục với cơ quan liên bang Mỹ: 2024-02-12. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn.
Lỗ hổng Ghi Ngoài Ranh Giới vCenter Server của VMware
vCenter Server chứa một lỗ hổng ghi ngoài ranh giới trong triển khai của giao thức DCERPC. Một đối tác ác ý có truy cập mạng đến vCenter Server có thể kích hoạt việc ghi ngoài ranh giới có thể dẫn đến thực thi mã từ xa.
VMware ESXi — Lỗ Hổng Truy Cập Không Cần Xác Thực VMware ESXi. Đưa vào KEV ngày 2024-07-30, hạn khắc phục với cơ quan liên bang Mỹ: 2024-08-20. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không khả dụng.
VMware ESXi chứa một lỗ hổng truy cập không cần xác thực. Một đối tác ác ý có đủ quyền Active Directory (AD) có thể giành được quyền truy cập đầy đủ vào máy chủ ESXi đã được cấu hình để sử dụng AD cho quản lý người dùng. Điều này có thể đạt được bằng cách tái tạo nhóm AD đã cấu hình ('ESXi Admins' là mặc định) sau khi nó đã bị xóa khỏi AD. https://blogs.vmware.com/vsphere/2012/09/joining-vsphere-hosts-to-active-di…
VMware vCenter Server — Lỗ hổng tràn bộ đệm dựa trên bộ đệm VMware vCenter Server. Đưa vào KEV ngày 2024-11-20, hạn khắc phục với cơ quan liên bang Mỹ: 2024-12-11. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn.
Lỗ hổng tràn bộ đệm
vCenter Server chứa một lỗ hổng tràn bộ đệm trong triển khai của giao thức DCERPC. Một đối tác ác ý có truy cập mạng đến vCenter Server có thể kích hoạt lỗ hổng này bằng cách gửi một gói mạng được tạo đặc biệt có thể dẫn đến thực thi mã từ xa.
VMware ESXi and Workstation — Lỗ hổng Điều kiện Tranh chấp Thời gian Kiểm tra Thời gian Sử dụng VMware ESXi và Workstation. Đưa vào KEV ngày 2025-03-04, hạn khắc phục với cơ quan liên bang Mỹ: 2025-03-25. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, tuân theo hướng dẫn BOD 22-01 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn.
VMware ESXi và Workstation chứa một lỗ hổng TOCTOU (Time-of-Check Time-of-Use) dẫn đến việc ghi ra khỏi ranh giới. Một đối tác xấu có quyền quản trị địa phương trên một máy ảo có thể khai thác vấn đề này để thực thi mã như quá trình VMX của máy ảo chạy trên máy chủ.
VMware ESXi — VMware ESXi Arbitrary Write Vulnerability. Đưa vào KEV ngày 2025-03-04, hạn khắc phục với cơ quan liên bang Mỹ: 2025-03-25.
VMware ESXi contains an arbitrary write vulnerability. A malicious actor with privileges within the VMX process may trigger an arbitrary kernel write leading to an escape of the sandbox.(bản gốc tiếng Anh — đang chờ dịch)
Veeam Backup & Replication — Lỗ hổng Deserialization của Veeam Backup and Replication. Đưa vào KEV ngày 2024-10-17, hạn khắc phục với cơ quan liên bang Mỹ: 2024-11-07. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn.
Một lỗ hổng deserialization của dữ liệu không tin cậy với tải trọng độc hại có thể cho phép thực thi mã không xác nhận từ xa (RCE).
Một lỗ hổng cho phép thực thi mã遠程代码执行 (RCE) 对域用户。
📰 Tin liên quan cùng sự kiện (3)
Nhóm tấn công sử dụng AI khai thác AWS trong 16 ngàyNguồn: Elastic Security Labs · 13/11/2026 · Cùng sự kiện
Nhóm tấn công khai thác yếu điểm trong BinanceNguồn: Dark Reading · 13/11/2026 · Cùng sự kiện
Nhóm tấn công khai thác lỗ hổng trong GPUStack, tạo ra yêu cầu giả mạoNguồn: SANS Internet Storm Center · 12/11/2026 · Cùng sự kiện
Tin tổng hợp tự động từ Kaspersky Securelist (https://securelist.com). Mỗi bài đều dẫn liên kết tới bài gốc của nguồn.
Bài viết liên quan
Cùng chuyên mục & chủ đề
Nhóm ransomware n0n tấn công Expedia, rò rỉ dữ liệu 1 tỷ người
Microsoft mất gần 24 giờ khắc phục sự cố mạng
Chi đã quyết định quá nhiều chức năng doanh nghiệp phụ thuộc vào cùng một hệ sinh thái công nghệ?
