VMware社のESXiサーバを狙うランサムキャンペーン ESXiArgsに関する調査 | セキュリティ研究センターブログ

■概要 日本時間の2023年2月3日（金）～4日（土）頃にVMware社のESXiサーバを標的にしたランサム攻撃（通称 ESXiArgs）が始まり、48時間弱でグローバルで3000台以上が被害にあう緊急事態となっています。注意喚起のため本ブログを公開することとしました。ESXiサーバをご利用の方は、至急自社環境のチェックと、今後しばらくは関連する情報を注視することを強く推奨します。 ■被害の観測 ESXiArgsにより暗号化されたサーバはESXiのログイン画面が以下のように改ざんされ、サーバ内のデータが暗号化されます。身代金額は被害を受けたサーバごとに微妙に異なり約2BTC（約600万円）が要求されているようです。 外部に公開されたESXiサーバのログイン画面が改ざんされるということはShodanやCensysのようなデバイス検索エンジンで被害台数を調査できます。2023年2月5日 16時

[s_nagano]

ESXiargs

[SUZUSHIRO]

"管理ページへのログイン画面は外部に公開されず、検索でヒットする台数は極少数だと考えていましたが、グローバルで約84,000台、日本国内でも570台"

[John_Kawanishi]

InternetからAccess出来るESXiのWebClientてそんなにあるの？と思ったら｢ブラジルや中国,タイ,インドといった国は攻撃を受けているVersionを非常に多く外部に公開しているにも関わらず被害は発生していません｣

[kurotsuraherasagi]

素人の疑問かもしれないけど、esxiを外部公開してるのってどういう運用状況なんだろうな…

[kazema_tsu]

“ブラジルや中国、タイ、インドといった国は、攻撃を受けているバージョンを非常に多く外部に公開しているにも関わらず、被害は発生していません。”まあ国を見て明らかだよ。