حققت Kaspersky GERT في حادثتي برامج فدية أثرت على بيئات ESXi وProxmox. تم تحديد مجموعة The Gentlemen كجهة التهديد المسؤولة عن حادثة برامج الفدية على Proxmox.
كشفت التحقيقات أن الحوادث بدأت بنشاط برامج الفدية BlackNevas على نظام Windows داخل جزء من وحدة تحكم المجال الافتراضية. أشارت آثار UserAssist إلى تنفيذ أداة AnyDesk RMM وملفات GMER التنفيذية.
في بيئة ESXi، حصلت جهة التهديد على وصول root، ونفذت ملف تشفير وقامت بحذف السجلات المضادة للطب الشرعي. ساهم الانتشار الواسع لـ PRTG وإعادة استخدام كلمات مرور root عبر العقد في تسهيل الهجوم.
في بيئة Proxmox، تم اكتشاف بيانات اعتماد إدارية مخزنة بنص واضح على محطة عمل مسؤول نظام مخترقة. تم استخدام حساب root المخترق لتفعيل VNC web socket، مما أتاح السيطرة الواسعة على بيئة Proxmox.
تم تحديد ضعف ضوابط الوصول، وعدم كفاية فصل الشبكة، والخدمات الإدارية المكشوفة، وسوء إدارة بيانات الاعتماد المميزة كعوامل مساهمة في الحوادث.