Gen 28, 2025 Attacchi, In evidenza, Minacce, News, RSS

---

I ricercatori di Sygnia, compagnia di sicurezza, hanno scoperto che i ransomware che prendono di mira le appliance ESXi sfruttano il tunneling SSH per mantenere persistenza sul dispositivo e comunicare col server C2.

Già da diversi anni le appliance ESXi sono diventate dei target molto interessanti per gli attaccanti: questi dispositivi hanno un ruolo critico nelle infrastrutture virtualizzate aziendali; quando compromessi, possono provocare l’interruzione dell’operatività con gravi conseguenze reputazionali ed economiche per le compagnie.

“Le appliance ESXi, le quali non sono monitorate, sono sempre più sfruttate come meccanismo di persistenza e gateway per accedere alle reti aziendali“ affermano Zhongyuan Hau e Ren Jie Yow di Sygnia.

Negli attacchi analizzati dalla compagnia, la maggior parte delle appliance erano state compromesse o usando le credenziali di amministratore, oppure sfruttando una vulnerabilità nota. Una volta preso il controllo del dispositivo, gli attaccanti hanno creato il tunnel di comunicazione sfruttando SSH o altri tool analoghi già presenti sulla macchina.

Effettuare il setup del canale di comunicazione col server C2 è molto semplice: è sufficiente eseguire un singolo comando per stabilire una connessione stabile con il server degli attaccanti. La natura delle appliance ESXi consente inoltre di mantenere la comunicazione aperta a lungo: “Poiché le appliance ESXi sono resilienti e raramente si spengono in modo inaspettato, il tunneling funge da backdoor semi-persistente all’interno della rete” sottolineano i ricercatori.

A complicare la situazione c’è anche una certa difficoltà nel monitorare i log di ESXi per individuare eventuali attività pericolose, conseguenze di ransomware e altri malware. I ricercatori spiegano infatti che, a differenza di altri formati di logging, quello di ESXi non aggrega i log rilevanti per le attività forensi, ma li divide per specifiche attività, separandoli in file differenti.

In caso di attacco o attività sospette, le analisi dei team di sicurezza si complicano ed è necessario unire più fonti per rintracciare le informazioni rilevanti e ricostruire il flusso di eventi. Per risolvere questo problema si può configurare l’inoltro dei file di log più importanti a un server di analisi esterno che si occupa di individuare le informazioni più importanti.

---

• ESXi, persistenza, Ransomware, server c2, SSH, tunneling

---

---