Cheerscrypt Ransomware attackerar VMware ESXi-servrar
Cheerscrypt är en stam av ransomware som har upptäckts riktad mot VMware ESXi-servrar och använder den typiska dubbel utpressningsmetod som har blivit nästan vanligt i ransomware under de senaste åren.
Cheerscrypt-operatörer behöver först förhöjda privilegier på ESXi-servern så att de kan utföra fjärrkommandon. Det är inte alltför tydligt hur privilegierad skalåtkomst erhålls, men när hotaktörerna väl har det skickar de ett kommando som stänger av alla virtuella maskiner på servern. När VM-processerna har stängts av börjar ransomwaren kryptera filer.
En rad tillägg och filtyper relaterade till VMware är krypterade, inklusive .vmdk, vmem, .vmsn och .vswp. Krypterade filer får tillägget .Cheers tillagt utöver det ursprungliga. Varje katalog som Cheerscrypt förvränger filer i får en kopia av lösensumman som heter "How to Restore Your Files.txt".
Anteckningen ger offren 3 dagar på sig att betala lösensumman och hotar att stulen data kommer att läcka ut online och kravet på lösen kommer att växa om betalningen inte görs i tid.
VMware ESXi-servrar har pekats ut som särskilt lukrativa mål eftersom de används av ett antal stora företag och hotaktörerna kan påverka betydande delar av offrets infrastruktur genom att kompromissa och kryptera ett enda fysiskt system, vilket innebär mindre arbete för ransomware-operatörerna och maximal potentiell vinst.
