VMware ESXi を狙ったランサムウェアが発生している

JPCERT/CC が VMware ESXi を狙ったランサムウェアが発生していることについて注意喚起していたのでメモ。
NISC も重要インフラグループが VMware ESXiの深刻な脆弱性(CVE-2021-21974)について(注意喚起）という文書を発出しているようです。

僕もたくさん ESXi を運用していますが、とりあえずハイパーバイザーには Public IP を振ったり NAT をかけているものはないのでひとまず問題ないと思われますが、ハイパーバイザー周りのネットワーク設定ついて今一度見直しておく必要がありそうです。

VMware ESXiを標的としたランサムウェア攻撃について

2023年2月3日（現地時間）より、VMware ESXiが稼働するサーバーを標的としたランサムウェア攻撃に関する情報が仏CERT-FRやOVHcloud、BleepingComputerなどから公開されています。同製品の既知のOpenSLPのヒープオーバーフローの脆弱性（CVE-2021-21974）を悪用した攻撃とみられ、攻撃を受けるとファイルが暗号化され身代金の支払いを求めるメッセージが残されます。

† 参考

• VMware Security Response Center (vSRC) Response to 'ESXiArgs' Ransomware Attacks - VMware Security Blog - VMware
• NVD - CVE-2021-21974
• [MàJ] Campagne d’exploitation d’une vulnérabilité affectant VMware ESXi – CERT-FR
• 「VMware ESXi」上で事前認証によるリモートコード実行を行う脆弱性の解説

† 2023/02/26 追記

米 CISA がリカバリツールを公開していました。

• ESXiArgs Ransomware Virtual Machine Recovery Guidance | CISA
• cisagov/ESXiArgs-Recover: A tool to recover from ESXiArgs ransomware