Eksperci Kaspersky GERT przeanalizowali dwa przypadki ataków ransomware, które doprowadziły do zaszyfrowania środowisk wirtualnych ESXi oraz Proxmox. W obu sytuacjach napastnicy nie musieli stosować skomplikowanych ucieczek z maszyn wirtualnych (VM escape), lecz wykorzystali błędy w konfiguracji i zarządzaniu tożsamością.
W pierwszym przypadku atakujący przejęli kontrolę nad systemem monitoringu PRTG, który posiadał szerokie uprawnienia do hostów ESXi oraz przechowywał powtarzalne hasła root. Pozwoliło to na bezpośrednie połączenie przez SSH i zaszyfrowanie infrastruktury. W drugim przypadku napastnicy odnaleźli dane logowania do Proxmox zapisane w formie czystego tekstu w notatkach na stacji roboczej administratora, co umożliwiło im przejęcie pełnej kontroli nad klastrem.
Analiza pokazuje, że bezpieczeństwo wirtualizacji to nie tylko łatanie hypervisorów, ale przede wszystkim ochrona warstwy zarządzania, systemów monitoringu i bezpieczne przechowywanie poświadczeń. Kluczowe jest unikanie nadmiarowych uprawnień dla narzędzi zewnętrznych oraz rygorystyczna separacja sieciowa między segmentami zarządzania a segmentami roboczymi.
