Cheerscrypt Ransomware angriper VMware ESXi-servere
Cheerscrypt er en ransomware-stamme som ble oppdaget rettet mot VMware ESXi-servere og ved å bruke den typiske dobbeltutpressingstilnærmingen som har blitt nesten vanlig innen løsepengevare de siste årene.
Cheerscrypt-operatører trenger først forhøyede privilegier på ESXi-serveren slik at de kan utføre eksterne kommandoer. Det er ikke så klart hvor privilegert shell-tilgang er oppnådd, men når trusselaktørene har det, sender de en kommando som slår av alle virtuelle maskiner på serveren. Når VM-prosessene er stengt, begynner løsepengevaren å kryptere filer.
En rekke utvidelser og filtyper relatert til VMware er kryptert, inkludert .vmdk, vmem, .vmsn og .vswp. Krypterte filer får utvidelsen .Cheers lagt til utover den opprinnelige. Hver katalog som Cheerscrypt forvrider filer i, får en kopi av løsepengene kalt "How to Restore Your Files.txt".
Seddelen gir ofrene 3 dager på seg til å betale løsepenger og truer med at stjålne data vil lekke ut på nettet og løsepengekravet vil øke dersom betalingen ikke blir utført i tide.
VMware ESXi-servere har blitt utpekt som spesielt lukrative mål fordi de brukes av en rekke store selskaper og trusselaktørene kan påvirke betydelige deler av offerets infrastruktur ved å kompromittere og kryptere et enkelt fysisk system, noe som betyr mindre arbeid for løsepengevareoperatørene og maksimal potensiell fortjeneste.
