「ESXiArgs」ランサムウェア被害に備えよ リカバリースクリプトをCISAが公開

CISAはVMware ESXiの脆弱性を悪用したサイバー攻撃キャンペーン「ESXiArgs」のリカバリースクリプトをリリースした。既にこれを使って一部の組織が仮想マシンの復旧に成功したと報告している。

[後藤大地，有限会社オングス]

　米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2023年2月8日（現地時間、以下同）、ハイパーバイザー「VMware ESXi」の脆弱（ぜいじゃく）性を突いたサイバー攻撃キャンペーン「ESXiArgs」の被害を受けた際のリカバリースクリプトを公開した。

　CISAはリカバリースクリプトについて、身代金を支払うことなく仮想マシンを復旧できると説明しており、既に一部の組織がこれを使って復旧に成功したと報告している。

CISAはESXiArgsのリカバリースクリプトをリリースした（出典：CISAのWebサイト）

ESXiArgsランサムウェアから復旧するスクリプトとは

　VMware ESXiで2年前に見つかったOpenSLPのヒープオーバーフローの脆弱（CVE-2021-21974）性を悪用するサイバー攻撃キャンペーン「ESXiArgs」は、日本を含めた全世界、特に仏と伊で大きな影響を与えている。

　2カ月前に組織化がはじまった新しいサイバーセキュリティ脅威グループ「Nevada Ransomware」によるこのキャンペーンは宣伝という面で大きな効果をもたらした。同グループは今後、より優れた人材を得てさらなるサイバー攻撃を実行する可能性がある。

　こうした状況を鑑みて、CISAはESXiArgsの被害を受けた際に利用可能なリカバリースクリプトを「GitHub」で公開した。

　ESXiArgsの被害に遭うとVMware ESXiの構成ファイルが暗号化され、仮想マシンが使用できなくなる可能性がある。そのため、リカバリースクリプトは暗号化されていない仮想ディスクから仮想マシンのメタデータを再構築することで復旧を試みる。CISAは一部の組織がそのスクリプトを利用することでファイルの回復に成功しており、身代金の支払いを回避できたと説明している。

　CISAはリカバリースクリプトを公開した翌日、ESXiArgsによる被害を受けた際に仮想マシンをリカバリーするためのガイダンスも公開している。