Sistemas Afectados

• VMWare ESXi

Descripción

Según han podido evidenciar algunos investigadores de Seguridad, es posible mediante el protocolo SLP materializar un despliegue de algunas variantes de Ransomware inclusive, sin haber comprometido el vCenter. Este protocolo viene activo por defecto en la suite de aplicativos y servicios que despliega VMWare ESXi.

Referencia

• Ransomware gangs are abusing VMWare ESXi exploits to encrypt virtual hard disks
• The ESXi ransomware post-mortem.
• Free threat intel – identify and patch VMware ESX vulnerabilities CVE-2019-5544 and CVE-2020-3992
• Sprite Spider emerging as one of the most destructive ransomware threat actors

Solución

• VMWare ha publicado parches de seguridad que corrigen estas debilidades por lo que se recomienda que sean aplicados los mismos o, deshabilitando el servicio SLP de forma manual.