Rançongiciel ciblant les hyperviseurs
Rançongiciel qui chiffre directement les serveurs de virtualisation, rendant d'un coup inutilisables toutes les machines virtuelles qu'ils hébergent ; il a démultiplié l'impact des attaques depuis le début des années 2020.
Dans la plupart des entreprises, les serveurs ne sont plus des machines physiques distinctes mais des machines virtuelles, qui s'exécutent par dizaines sur quelques serveurs hôtes gérés par un hyperviseur. Pour un attaquant, l'hyperviseur est une cible idéale : au lieu de chiffrer chaque serveur un par un, il suffit de chiffrer les fichiers des machines virtuelles sur l'hôte pour les rendre toutes inutilisables en quelques minutes, messagerie, comptabilité, production, sauvegardes parfois comprises. De nombreux groupes rançongiciels ont développé depuis le début des années 2020 des versions spécifiques pour les hyperviseurs les plus répandus. En février 2023, une campagne de masse a chiffré des milliers de serveurs exposés sur internet en exploitant une vulnérabilité corrigée depuis deux ans. Ces hyperviseurs échappent souvent aux outils de détection installés sur les postes et les serveurs classiques, et leurs interfaces d'administration sont parfois accessibles depuis le réseau de l'entreprise sans authentification forte. Les parades sont l'isolement du réseau d'administration, l'authentification multifacteur sur les consoles, l'application rapide des correctifs et des sauvegardes hors de l'environnement virtualisé. Pour l'assurance, cette technique explique en partie la hausse de la sévérité des sinistres rançongiciels : le temps d'arrêt ne dépend plus du nombre de machines chiffrées, mais de la capacité à reconstruire toute l'infrastructure.
Le 3 février 2023, le CERT-FR alerte sur une campagne, baptisée ESXiArgs, qui chiffre des serveurs VMware ESXi exposés à internet par la faille CVE-2021-21974, corrigée en février 2021. En quelques jours, plus de 3 000 serveurs sont touchés dans le monde, la France étant parmi les pays les plus atteints.
ESXi ransomware, hypervisor ransomware, ESXiArgs, chiffrement des hyperviseurs
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.