تم تحديد مجموعة BlackNevas كمرتكب وراء حملة برامج الفدية التي استهدفت البنية التحتية الافتراضية لإحدى المنظمات على مدى فترة عشرة أيام. ركز الهجوم على أربعة مضيفين ESXi، وجميع الآلات الافتراضية المستضافة عليهم، وكلا vCenter Server Appliance، والبنية التحتية للنسخ الاحتياطي المتصلة.
لم يستغل المهاجمون أي ثغرات في طبقة الافتراضية. بدلاً من ذلك، نفذوا أفعالهم من خلال واجهات إدارة VMware الشرعية. كانت المنظمة المستهدفة تشغل إصدارات ESXi غير مدعومة، مما جعلها أكثر عرضة للهجوم.
تم استخدام الشيفرة المصدرية لبرامج الفدية Babuk، التي تم تسريبها عبر الإنترنت في سبتمبر 2021، من قبل ما لا يقل عن عشر عائلات برامج فدية لاحقة. شمل هذا التسريب إصدار ESXi، مما جعله متاحًا للمجرمين الإلكترونيين الذين كانوا يفتقرون سابقًا إلى الخبرة لتطوير برامج فدية متوافقة مع ESXi.
يعتمد المدافعون بشكل متزايد على تقوية مدمجة، وقياس عن بعد لطبقة الإدارة، وتكاملات حلول الأمان بدون وكيل لـ ESXi وvCenter.