微软：警惕利用VMware ESXi进行身份验证绕过攻击
内容提要
微软发布警告，称勒索软件团伙利用VMware ESXi身份验证绕过漏洞进行攻击。漏洞已修复，但多个团伙已利用漏洞窃取敏感数据并加密文件系统。攻击趋势明显增加，入侵虚拟机将对企业造成巨大破坏并限制数据恢复能力。
延伸解读
漏洞利用的三种具体策略
微软确定了至少三种利用CVE-2024-37085的策略：一是将“ESX Admins”组添加到域并添加用户；二是将域中任何组重命名为“ESX Admins”并添加用户或使用现有成员；三是利用ESXi特权刷新机制，为其他组分配管理员权限不会将其从“ESX Admins”组移除。这些策略表明攻击者可通过操纵域组配置获得完全管理权限。
已观测到的勒索软件团伙与攻击案例
该漏洞已被Storm-0506、Storm-1175、Octo Tempest和Manatee Tempest等勒索软件运营商在野外利用，部署了Akira和Black Basta勒索软件。例如，Storm-0506在利用漏洞提升权限后，在一家北美工程公司的ESXi虚拟机管理程序上部署了Black Basta。这些案例显示漏洞已被实际用于攻击并造成损害。
ESXi攻击趋势与潜在影响
由于ESXi虚拟机具有高效资源处理能力，许多企业用它托管关键应用和存储，导致针对ESXi虚拟机管理程序的攻击趋势明显增加。微软警告，过去三年中相关事件响应数量增加了一倍多。一旦攻破虚拟机，攻击者不仅破坏正常业务，还能加密文件和备份，严重限制企业恢复数据的能力。
Q&A
VMware ESXi身份验证绕过漏洞是什么？
VMware ESXi身份验证绕过漏洞（CVE-2024-37085）允许攻击者将新用户添加到“ESX 管理员”组中，从而获得完全管理权限。
攻击者如何利用该漏洞进行攻击？
攻击者可以通过将用户添加到“ESX 管理员”组，提升权限并在虚拟机管理程序上部署勒索软件，窃取敏感数据。
微软对该漏洞的修复措施是什么？
该漏洞已在6月25日发布的ESXi 8.0 U3更新中修复。
针对ESXi虚拟机管理程序的攻击趋势如何？
在过去三年中，针对ESXi虚拟机管理程序的攻击事件数量增加了一倍多，攻击趋势明显上升。
该漏洞对企业造成了什么影响？
一旦攻破虚拟机，攻击者可以对企业业务造成巨大破坏，并限制数据恢复能力。
有哪些勒索软件团伙利用了这个漏洞？
已知的勒索软件团伙包括Storm-0506、Storm-1175、Octo Tempest和Manatee Tempest，它们在攻击中部署了Akira和Black Basta勒索软件。
