脅威インテリジェンスソフトウェアを提供するRecorded Futureが2023年2月13日に公開した調査結果によれば、ESXiを狙ったランサムウェアによるサイバー攻撃は2020年にはわずか2件だった（注1）。だが、2021年には400件以上のインシデントが確認された。2023年には攻撃が急増し、2022年の約3倍に当たる1118件に達した。

　攻撃に使われたランサムウェアのペイロードは、ALPHVやLockBit、BlackBastaなど複数のグループから提供されていた。

　調査から分かることは、VMware ESXiを使用する企業はランサムウェア攻撃のリスクを把握し、備えなければならないということだ。

　VMwareはRecorded Futureの調査に対するコメントを拒否する一方で、現在知られている脆弱（ぜいじゃく）性に対処するために、コンポーネントを最新リリースにアップグレードするよう企業にアドバイスした。

ESXiArgsの追撃が始まる

　状況は悪くなる一方だ。ESXiArgsランサムウェアの攻撃が新たに加わったからだ。このランサムウェアはESXiサーバにある特定の設定ファイルを暗号化し、仮想マシンを使用不能にする。

　2023年2月にESXiArgsが比較的単純な方法で数千台のマシンにランサムウェアを拡散し始めたため（注2、注3）、ハイパーバイザーに影響を与えるランサムウェアの脅威が大きな関心を集めた。

　2023年2月8日にはESXiArgsランサムウェアの新しい亜種が登場して（注4）、1250台以上のESXi搭載サーバに感染した。感染したサーバの8割以上は、亜種が登場する前に一度感染し、亜種登場後に再感染したものだった。

　マルウェアがわずかに修正されたことで、さらに効果的にデータを暗号化できるようになり、データ復旧が妨げられた。

　Recorded Futureのリンジー・ケイ氏（シニアリサーチディレクター、調査レポートのリードアナリスト）は「ESXiArgs登場前までは一般的で仮定のこととしてマルウェアを語っていたが、ESXiArgsの登場で話が変わってしまった」と述べた。

なぜESXiが狙われるのか

　ESXiに対するランサムウェアの活動が活発化している背景には、さまざまな要因があるとケイ氏は語る。

・仮想化によって脆弱性が増えているが、ESXiはWindowsなどのように保護機能や防御機能が充実していない
・Windows向けのウイルス対策ソフトウェアやエンドポイント検知ツール、同対応ツールは豊富にあるが、ESXiなどのハイパーバイザー向けには「初期段階」以上の製品はあまりない
・ESXiの脅威探索コマンドは、一般的なシステム管理者の操作と類似しており、正常な行為と悪意のある行為の境界線が曖昧（あいまい）だ

企業には痛手となる

　このランサムウェア攻撃は企業にとってESXiが果たす役割のためにより深刻なものになる。なぜなら重要な機能を維持するためにESXi搭載サーバを常時稼働させる必要があるからだ。一般にアップデートやパッチを適用すると不具合が生じることがあるため、企業がこれらの更新適用をためらうことがある。こうなると攻撃に対抗できない。

　VMware製品では重大な脆弱性が繰り返し発生している（注5）。Recorded Futureの脅威研究グループは、過去6カ月間にVMware製品に影響を与えた高リスクの脆弱性を7つ挙げた。

　攻撃者は対象にアクセスする際、最初に脆弱性を悪用することが多い。多くの攻撃者はシステム管理者のメモや保存されたパスワード、キーロギングをだけを使って一部のESXi利用環境にアクセスしているとRecorded Futureは報告書に記した。

　「仮想化インフラストラクチャのセキュリティ対策は複雑だ。なぜなら技術に独自性があり、仮想化インフラストラクチャのために設計された防御用の製品が比較的未熟だからだ。この結果、ESXiは金銭的動機のある攻撃者にとって非常に魅力的なターゲットになった」と報告書に記されている。