En la actualidad, las variantes del ransomware Babuk están dirigiéndose específicamente a servidores ESXi, evolucionando para evadir las herramientas de seguridad más avanzadas. Estas amenazas se intensifican debido a la creciente disponibilidad de accesos iniciales en mercados clandestinos, donde ciberdelincuentes monetizan vulnerabilidades vendiendo acceso a actores malintencionados, incluidos grupos especializados en ransomware.

Ante este panorama, las organizaciones enfrentan un frente de ataque cada vez más amplio, compuesto por nuevas vulnerabilidades, puntos de entrada diversificados y redes de ciberdelincuencia altamente organizadas. En este contexto, fortalecer la seguridad de los servidores ESXi es esencial para mitigar riesgos críticos.

Entendiendo la Arquitectura de ESXi

Para comprender cómo un atacante puede comprometer un host ESXi, primero es necesario entender la arquitectura de los entornos virtualizados. Los atacantes suelen enfocarse en el vCenter, el núcleo de administración centralizado de la infraestructura VMware.

El servidor vCenter utiliza la cuenta predeterminada «vpxuser», que posee permisos de root y se emplea para tareas administrativas como mover máquinas virtuales entre hosts y modificar configuraciones críticas. Las contraseñas cifradas de los hosts ESXi conectados se almacenan en una tabla dentro del vCenter, protegidas por una clave secreta. Si un atacante descifra estas credenciales, obtiene control total sobre los hosts ESXi y puede realizar acciones maliciosas, como ejecutar ransomware, modificar configuraciones y establecer persistencia mediante SSH.

Cómo Funciona el Cifrado en Ataques a ESXi

Los ataques de ransomware dirigidos a servidores ESXi tienen como objetivo bloquear operaciones clave mediante el cifrado de archivos esenciales, como:

1. Archivos VMDK: Almacenan los discos duros virtuales. Su cifrado deja inoperables las máquinas virtuales.
2. Archivos VMEM: Archivos de paginación que, si se eliminan o cifran, causan pérdida de datos.
3. Archivos VSWP: Archivos de intercambio que, al ser comprometidos, provocan bloqueos en las máquinas virtuales.
4. Archivos VMSN: Instantáneas críticas para la recuperación ante desastres, cuyo cifrado dificulta los procesos de restauración.

Dado el tamaño de estos archivos, los atacantes suelen usar un enfoque híbrido de cifrado:

• Cifrado simétrico: Métodos como AES o Chacha20 permiten cifrar grandes volúmenes de datos rápidamente, reduciendo la oportunidad de detección.
• Cifrado asimétrico: Aunque más lento, asegura las claves de cifrado simétrico, haciendo que solo los atacantes puedan descifrarlas mediante claves privadas.

Este enfoque refuerza la seguridad de los atacantes, complicando la recuperación sin pagar el rescate.

Estrategias Clave para Mitigar Riesgos en ESXi

Para proteger un entorno vCenter y prevenir ataques de ransomware en ESXi, las organizaciones deben implementar medidas proactivas y efectivas:

1. Mantener vCenter Actualizado
   Utilice siempre la versión más reciente de VMware vCenter Server Appliance (VCSA) y realice actualizaciones periódicas. La migración desde vCenter basado en Windows a VCSA puede mejorar la seguridad, dado que este último está diseñado exclusivamente para administrar vSphere.
2. Implementar Autenticación Multifactor (MFA)
   Reemplace las contraseñas predeterminadas e implemente MFA para cuentas críticas, agregando una capa adicional de protección contra accesos no autorizados.
3. Monitoreo y Detección Avanzada
   Configure herramientas de detección, como EDR y XDR, directamente en su entorno vCenter. Estas herramientas permiten monitorear intentos de acceso sospechosos, actividad inusual en la cuenta «vpxuser» o señales de cifrado de archivos en el sistema.
4. Segmentación de Redes
   Segmente la red de administración de vCenter, separándola de otros segmentos. Esto limita el movimiento lateral de los atacantes y reduce el impacto de posibles compromisos.

 La Importancia de las Pruebas Continuas

Proteger los servidores ESXi y el vCenter es crucial, ya que un compromiso puede impactar severamente la continuidad operativa y exponer datos sensibles. La realización de pruebas de seguridad regulares ayuda a identificar vulnerabilidades antes de que sean explotadas.

Colabore con expertos en ciberseguridad para desarrollar una estrategia integral de gestión de la exposición a amenazas (CTEM), personalizada para su infraestructura. Este enfoque garantizará una mejora constante de las defensas y la capacidad de respuesta ante las amenazas emergentes.

 En conclusión

La evolución de las amenazas de ransomware contra servidores ESXi subraya la necesidad de adoptar una postura de seguridad sólida. Mantener los sistemas actualizados, implementar medidas de autenticación avanzadas, y realizar pruebas continuas son acciones clave para mitigar riesgos. Proteger el vCenter es proteger el corazón de su infraestructura virtual y, en última instancia, la continuidad operativa de su organización.

Fuentes:

https://thehackernews.com/2025/01/ransomware-on-esxi-mechanization-of.html