La Agencia de Ciberseguridad Nacional italiana (l’Agenzia per la Cybersicurezza Nazionale, ACN) ha alertado de que un gran ciberataque de ransomware en curso está afectando a miles de servidores. El ciberataque se aprovecha de un fallo de seguridad en VMWare ESXi, afectado por una vulnerabilidad de seguridad ya conocida y que cuenta con un parche de seguridad desde 2021.
El ransomware es un ciberataque capaz de infectar un sistema informático, en este caso un servidor, para luego cifrarlo y bloquearlo, solicitando un rescate económico a cambio de su recuperación.
Decenas de organizaciones italianas se han visto afectadas y otras muchas han sido avisadas para que pongan las medidas adecuadas para protegerse.
«Deben actualizar sus sistemas inmediatamente»
La información ha sido ampliada por la agencia de noticias italiana ANSA, apuntando que el equipo de respuesta a incidentes de seguridad informática de Italia, el organismo responsable de monitorizar incidentes e intervenir en caso de ataques, descubrió que los ciberdelincuentes han conseguido comprometer docenas de sistemas con un ataque de ransomware.
Desde la agencia se ha alertado a instituciones tanto públicas como privadas cuyos sistemas están expuestos, y por lo tanto, vulnerables a ataques.
Esto significa que “docenas de empresas ni siquiera saben que están siendo atacadas, pero deben actualizar sus sistemas inmediatamente”, advierte Roberto Baldoni, director general de la ACN italiana. Avisan de que este ciberataque afecta a instituciones y empresas de decenas de países y les instan a reforzar su ciberseguridad.
El objetivo del ciberataque son servidores que cuentan con VMware ESXi no parcheados. ESXi es un software que se ejecuta en un servidor. Se trata de un hipervisor, conocido también como monitor de máquinas virtuales, que crea y ejecuta máquinas virtuales.
La propia ACN publicaba el 4 de febrero una alerta sobre una campaña de explotación masiva con el objetivo de liberar ransomware de una vulnerabilidad detectada en VMWare ESXi.
‼️Rilevata una #campagna di sfruttamento massivo della CVE-2021–21974 – con impatto su soggetti nazionali – relativa ai prodotti #VMWare #ESXi
Rischio: 🟠
⚠ Importante aggiornare i prodotti interessati pic.twitter.com/2cgDWBsa60
— CSIRT Italia (@csirt_it) February 4, 2023
Este fallo de seguridad, denominado CVE-2021–21974 que está presente en los productos VMware ESXi fue detectado y remediado por el proveedor en febrero de 2021.
Es decir, que existe una actualización de seguridad que soluciona el fallo, por lo que los servidores afectados por el ciberataque serían los que no han aplicado el parche de seguridad en este producto.
La ACN subraya este aspecto, que la vulnerabilidad explotada por los atacantes ya ha sido corregida en el pasado por el fabricante, y subraya la importancia de implementar las correcciones oportunas.
De hecho, los expertos consultados por ANSA explican que no todas las empresas e instituciones han aplicado dicho parche. Por eso, se han quedado expuestos, y el agujero de seguridad han dejado la puerta abierta a los atacantes, que han aprovechado este fallo.
“Los atacantes están explotando una vulnerabilidad resuelta en febrero de 2021”
El primer país en detectar este ataque ha sido Francia, trasladándose posteriormente a otros países, como Italia. Se calcula que en estos momentos hay miles de servidores comprometidos en todo el mundo, y decenas de empresas ya han encontrado actividad maliciosa contra ellos.
Según apuntan los analistas, ese número de afectados va a seguir aumentando.
Una vez que los atacantes logran acceder a los sistemas, la explotación de la vulnerabilidad, explica la Agencia italiana, permite en una fase posterior realizar ataques de ransomware que cifra los sistemas afectados dejándolos inutilizables hasta que se paga un rescate por la clave de descifrado.
