🔍 BlackNevas a utilisé vCenter comme plate-forme d'attaque de Kaspersky a détaillé 10 jours de pénétration de BlackNeva au cours desquels les opérateurs ont utilisé des comptes de gestion valides, accédé à vCenter, activé TSM-SSH sur les hôtes ESXi à l'aide de profils d'hôte, puis supprimé quatre hôtes ESXi, toutes les machines virtuelles résidentes, VCSA et l'infrastructure attachée. La victime s'exécute sans la prise en charge de la build ESXi. L'affaire met l'accent sur la reprise en main d'un plan de gestion et non sur la surexploitation. Une fois VCenter compromis, les flux de travail VMware autorisés ont été utilisés pour organiser les charges, pivoter vers les hôtes et détruire en premier les chemins de récupération, réduisant ainsi les options de confinement et de récupération. 🛰️ Sources ouvertes - récits fermés.

🔍 BlackNevas a utilisé vCenter comme plate-forme d'attaque de Kaspersky a détaillé 10 jours de pénétration de BlackNeva au cours desquels les opérateurs ont utilisé des comptes de gestion valides, accédé à vCenter, activé TSM-SSH sur les hôtes ESXi à l'aide de profils d'hôte, puis supprimé quatre hôtes ESXi, toutes les machines virtuelles résidentes, VCSA et l'infrastructure attachée. La victime s'exécute sans la prise en charge de la build ESXi. L'affaire met l'accent sur la reprise en main d'un plan de gestion et non sur la surexploitation. Une fois VCenter compromis, les flux de travail VMware autorisés ont été utilisés pour organiser les charges, pivoter vers les hôtes et détruire en premier les chemins de récupération, réduisant ainsi les options de confinement et de récupération. 🛰️ Sources ouvertes - récits fermés.