Kaspersky : mots de passe root réutilisés et supervision ont ouvert ESXi et Proxmox au rançongiciel

L’équipe mondiale d’intervention d’urgence de Kaspersky a publié le 6 novembre 2026 sur Securelist une analyse de deux incidents de rançongiciel dans des environnements virtualisés. La leçon commune est nette : une fois qu’un attaquant a une portée administrative ordinaire vers la couche hyperviseur, chaque machine virtuelle sur ces hôtes est en danger. Aucune exploitation d’échappée invité-hôte n’était nécessaire.

Cas 1 : de l’outil de supervision au chiffrement ESXi

Les enquêteurs ont trouvé une activité du rançongiciel BlackNevas sur un système Windows dans un segment de contrôleur de domaine virtualisé, ainsi que des artefacts AnyDesk et GMER. L’environnement utilisait PRTG Network Monitor contre ses hôtes ESXi. Ce déploiement de supervision détenait un mot de passe root réutilisable partagé entre plusieurs nœuds.

Après avoir compromis le côté supervision, l’attaquant s’est connecté en SSH aux hôtes ESXi avec ce mot de passe root partagé, a désactivé la politique execInstalledOnly avec esxcli, a lancé un binaire de chiffrement et a effacé des journaux. Une première tentative d’exécution a été bloquée par execInstalledOnly ; la même session root a ensuite désactivé le contrôle. La réutilisation de mots de passe a transformé un secret récupéré en accès à toute la ferme.

Cas 2 : des notes en clair à tout un groupe Proxmox

Dans un incident distinct attribué au groupe de rançongiciel The Gentlemen, des attaquants qui avaient déjà atteint le poste d’un administrateur système ont trouvé des identifiants root Proxmox stockés dans des notes en clair. Avec root, ils ont utilisé le websocket VNC par l’API de gestion et chiffré tout l’environnement virtuel. Une mauvaise habitude de gestion des identifiants a fait passer l’intrusion d’un seul poste à chaque machine virtuelle du groupe.

Ce que recommande Kaspersky

La liste de vérification des chercheurs correspond aux échecs observés :

• Donnez à la supervision une identité dédiée, au moindre privilège. Ne stockez pas de mots de passe root d’hyperviseur récupérables sur un serveur de supervision général.
• Préférez des identifiants uniques en coffre par hôte. Faites-les tourner après toute compromission suspectée d’un poste.
• Faites passer le travail ESXi quotidien par vCenter, gardez SSH désactivé par défaut, et alertez quand Lockdown Mode, Secure Boot ou execInstalledOnly changent.
• Séparez les réseaux de gestion, de sauvegarde et de stockage des réseaux de serveurs généraux.
• Transférez les journaux vers un stockage qu’un attaquant avec des droits d’admin hôte ne peut pas effacer.

Ils situent aussi ces cas à côté d’autres risques de virtualisation (échappées de MV et de conteneurs, images empoisonnées, abus d’API de gestion, réseaux virtuels plats), mais soutiennent que fermer la voie administrative connue doit venir en premier.

Ce que ça signifie si vous faites tourner des MV au travail ou à la maison

Si vous administrez ESXi, Proxmox ou une pile semblable, la recherche est une invitation à auditer la configuration plutôt qu’un nouveau CVE. Les mots de passe root partagés, les outils de supervision qui peuvent ouvrir des sessions d’admin interactives et les mots de passe dans des notes de bureau restent courants. Les laboratoires à la maison reprennent souvent les mêmes raccourcis à plus petite échelle.

Ce que vous pouvez faire

1. Dressez l’inventaire des endroits où sont stockés les mots de passe root d’hyperviseur et de sauvegarde, y compris les outils de supervision, les scripts et les applis de notes personnelles.
2. Remplacez les mots de passe root partagés et faites passer l’admin courante par le plan de gestion central avec MFA quand c’est possible.
3. Confirmez que execInstalledOnly / les contrôles équivalents sont activés et que les changements déclenchent une alerte.
4. Segmentez les réseaux de gestion pour qu’un serveur d’appli compromis ne puisse pas ouvrir une session SSH vers les hyperviseurs.
5. Gardez des sauvegardes hors ligne ou immuables qu’un compte d’admin de groupe en direct ne peut pas supprimer.

Comment Frame peut aider

Frame se concentre sur l’exposition personnelle : comptes compromis, annuaires de courtiers de données et listes de vérification concrètes. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Elle ne durcit pas les hyperviseurs ; utilisez les conseils Securelist et la documentation de confinement de votre fournisseur pour cela.

À lire aussi

• Le rançongiciel de la Queens Public Library a perturbé les services numériques des succursales.
• Des attaquants ont utilisé une nouvelle faille OpenSSH pour obtenir root sur un leurre Alpine en quelques heures.

Sources

• Kaspersky Securelist, How misconfigurations in virtual environments can lead to compromise (en anglais), 6 novembre 2026