Rançongiciel ESXi : protéger votre hyperviseur en priorité

Ce qui s’est passé

Selon une analyse publiée par les chercheurs de Kaspersky, les groupes de rançongiciel (logiciel qui chiffre vos fichiers pour exiger une rançon) ciblent de plus en plus la couche de virtualisation. Leurs cibles sont VMware ESXi, l’hyperviseur (logiciel qui fait tourner plusieurs serveurs virtuels sur une même machine physique), et vCenter, la console qui gère plusieurs hôtes ESXi. Les attaquants n’ont plus besoin d’infecter chaque serveur un par un : ils chiffrent directement les fichiers des machines virtuelles, au niveau de l’hyperviseur.

Kaspersky indique que les attaquants détournent surtout des fonctions d’administration légitimes d’ESXi et de vCenter, plutôt que des techniques exotiques. Les chercheurs citent trois voies d’accès courantes :

• Des identifiants de domaine réutilisés. Un compte Active Directory (l’annuaire central des comptes Windows) volé sur un poste ou un serveur donne aussi accès à ESXi ou à vCenter, lorsque ces systèmes sont liés au domaine ou utilisent le même mot de passe.
• SSH activé. SSH est un accès à distance en ligne de commande. S’il reste ouvert, l’attaquant peut lancer son outil de chiffrement directement sur l’hôte.
• Une interface de gestion accessible depuis le réseau des utilisateurs. Si un simple poste de travail compromis peut joindre ESXi ou vCenter, l’attaquant passe facilement du réseau bureautique au cœur de l’infrastructure.

Ces trois failles relèvent de la configuration et de l’architecture. Une attaque peut donc réussir même sur un hyperviseur à jour.

Pourquoi ça compte pour une PME

Dans beaucoup de PME, un ou deux hôtes ESXi hébergent tout : contrôleur de domaine, serveur de fichiers, ERP, comptabilité, messagerie interne. Une fois l’hyperviseur chiffré, tous ces serveurs s’arrêtent au même moment. Ce n’est plus un incident isolé, c’est un arrêt complet de l’activité.

Il y a un deuxième problème. Les hyperviseurs sont souvent moins surveillés que les postes Windows, et les antivirus ou outils EDR (logiciels de détection et de réponse sur les postes) ne s’y installent généralement pas. L’attaque peut donc passer inaperçue jusqu’au chiffrement. Enfin, si les sauvegardes sont stockées sur le même environnement, ou si l’on peut les effacer avec les mêmes comptes, l’attaquant les détruira avant de chiffrer.

Comment se protéger

Les actions ci-dessous sont classées par priorité. Dans une démarche ITIL, gérez-les comme des changements planifiés (avec fenêtre de maintenance et plan de retour arrière), sauf la vérification des sauvegardes, à lancer immédiatement.

Priorité 1 : des sauvegardes hors de portée de l’hyperviseur

• Isolez ou rendez immuables les sauvegardes. Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant une durée fixée, même par un administrateur. Vous pouvez aussi utiliser une copie hors ligne ou dans un environnement séparé.
• Séparez les identifiants. Le serveur de sauvegarde ne doit pas être joint au domaine principal, et ses comptes ne doivent jamais servir ailleurs.
• Testez par une vraie restauration. Une sauvegarde jamais restaurée n’est pas une garantie. Planifiez un test régulier, par exemple trimestriel, d’un serveur critique complet, et notez le temps de reprise réel.

Priorité 2 : couper les voies d’accès décrites par Kaspersky

• Séparez le réseau de gestion. Placez les interfaces d’administration d’ESXi et de vCenter dans un réseau dédié (VLAN de gestion). Seuls quelques postes d’administration désignés doivent y avoir accès, et jamais les postes des utilisateurs.
• Ne joignez pas ESXi à l’Active Directory. Utilisez des comptes locaux propres à l’hyperviseur, avec des mots de passe longs et uniques, conservés dans un coffre-fort de mots de passe. Un compte de domaine volé ne doit pas suffire à atteindre l’hyperviseur.
• Désactivez SSH et le shell ESXi. Activez-les seulement le temps d’une intervention, puis désactivez-les aussitôt.
• Activez le mode verrouillage (lockdown mode). Ce mode limite l’administration de l’hôte au passage par vCenter et à une liste d’exceptions explicites. Testez-le d’abord, pour ne pas vous bloquer l’accès.

Pour vérifier l’état des services, lors d’une intervention autorisée sur l’hôte (de préférence depuis l’interface vSphere) :

# Version et niveau de correctif de l'hôte
esxcli system version get

# Arrêter et désactiver SSH et le shell ESXi
vim-cmd hostsvc/stop_ssh
vim-cmd hostsvc/disable_ssh
vim-cmd hostsvc/stop_esx_shell
vim-cmd hostsvc/disable_esx_shell

Priorité 3 : correctifs

• Appliquez les correctifs ESXi et vCenter dans le cadre de votre gestion des vulnérabilités. Faites l’inventaire des versions, vérifiez les avis de sécurité de l’éditeur, puis planifiez la mise à jour.
• Vérifiez que vos versions sont encore prises en charge. Une version en fin de vie ne reçoit plus de correctifs.

Priorité 4 : détection

• Centralisez les journaux d’ESXi et de vCenter vers un serveur de journaux (syslog) ou un SIEM (outil qui centralise et analyse les journaux de sécurité).
• Alertez sur les signaux clés : activation de SSH ou du shell, sortie du mode verrouillage, connexion d’un compte inhabituel, création d’un nouvel administrateur, arrêt massif de machines virtuelles.
• Surveillez les comptes à privilèges du domaine. Le vol d’identifiants commence souvent sur un poste Windows, avant d’atteindre l’hyperviseur.

En cas de doute ou d’incident

• Ouvrez un incident de priorité maximale. Isolez le réseau de gestion sans éteindre les hôtes, pour préserver les traces utiles à l’enquête.
• Prévenez la direction, votre prestataire TI ou de sécurité et votre assureur cyber, si vous en avez un.
• Au Canada, vous pouvez signaler l’incident au Centre canadien pour la cybersécurité. Si des renseignements personnels sont touchés, évaluez vos obligations de déclaration à la Commission d’accès à l’information du Québec (Loi 25).

À retenir : l’hyperviseur est le point unique dont dépend toute votre informatique. Protégez son accès comme celui d’une salle des coffres, et gardez une sauvegarde qu’il ne peut pas atteindre.