2021.03.14 周日凌晨，睡梦中醒来，经用户反馈，大量虚拟机关闭，虚拟处于关机，并处于无法连接状态，用户生产环境停线。
小岑和同事，以及用户，一起参与到业务恢复中。花费一整天时间，才将业务恢复的七七八八。
中毒现象：
VMware vSphere集群仅有vCenter处于正常状态。
同时企业中Windows桌面PC，笔记本大量出现被加密情况。
VMware vSphere部分
1.浏览ESXI Datastore发现，虚拟机磁盘文件.vmdk，虚拟机描述文件.vmx被重命名，手动打开.vmx文件，发现.vmx文件被加密。
VMware vm-support日志收集包中，竟然也有勒索软件生成的说明文件。
Windows部分
1.Windows客户端出现出现文件被加密情况，加密程度不一，某些用户全盘加密，某些用户部分文件被加密。
2.Windows系统日志被清理，无法溯源。PS:客户端均安装有McAfee企业防病毒软件，然而并未起到防护作用。
3.使用火绒、autoruns、深信服EDR产品，暂未发现异常。
本次事件处理方式：
VMware vSphere部分
1.得益于客户现有存储每天执行过快照，VMware vSphere虚拟化主机全部重建后，通过存储LUN快照创建新的LUN挂载给ESXI，进行手动虚拟机注册。然后启动虚拟机逐步验证数据丢失情况、恢复业务。
2.用户有数据备份环境，部分存储于本地磁盘的VMware 虚拟机，由于无法通过快照的方式还原，通过虚拟机整机还原。
3.对于没有快照、没有备份的虚拟机，只能选择放弃。后续重构该虚拟机。
4.对现有虚拟化环境进行了升级。
VMware的安全公告
改漏洞主要利用VMware使用的Openslp组件漏洞进行攻击。
VMware缓解方案
禁用ESXI SLPD服务，但是vCenter无效
How to Disable/Enable CIM Server on VMware ESXi (76372)
补丁解决方案：
搜索对应版本Esxi和vCenter的补丁，进行升级。
https://my.vmware.com/group/vmware/patch#search
Windows部分
1.对于Windows客户端，进行断网，并快速抢救式备份数据。
2.开启防病毒软件的防勒索功能。
勒索病毒的反思和建议：
1.数据备份非常重要，往往是灾难发生后的唯一救命稻草。建议有多份数据备份，且存储于不同介质。
2.存储级别的冗余也很有必要，比如存储的快照，复制，克隆等技术，这些技术在备份和还原上非常的迅速，利于快速恢复业务。目前主流的中端存储基本都支持存储快照。建议采用定期的LUN快照，保护企业数据。
3.关注厂商的安全公告，及时对现有环境中的软硬件环境进行升级。
相关链接：
Ransomware gangs are abusing VMWare ESXi exploits to encrypt virtual hard disks
文章评论
感谢学长的分享，已经把帖子分享给了客户。
@李文超 好的！
请问博主vsphere哪些版本受影响？禁用ESXI SLPD服务是否能保证安全？谢谢！
@Jesse vsphere 6.5 6.7都会有影响，禁用slpd只能解决ESXI的问题。
你好，ESXi是直接升级最新发布那个[2021-02-23]补丁就可以对不？ESXi升级好像没说需要前置？实在不好意思只升级过VC，ESXi还没升级过。
@dusture 对的，可以的，这个补丁也修补了另一个重大漏洞vmsa-2021-0002 !
还好有 镜像，不然就是灭顶之灾。。。。
发现一个小问题，从rss点过来直接会403，从首页过来就没事，这是检查refer了么
@文雨 对的，存储有快照，很快的进行了还原！
403应该是网站做了安全限制，可以个图啥的给我不！
刚刚看了另一个帖子说，6.7的U3版本不受影响，不知道是不是这样。。
@33 嗯 vcenter是这样的，但是esxi要看下版本号！
谢谢博主即时分享
请问下6.0的版本有没有影响
@wy 6.0不影响，但是6.0已经停止支持了！尽快升级吧！
这两个洞有公开exp了？???
请问只要修复 CVE-2019-5544/CVE-2020-3992这两个漏洞就可以防范这个勒索病毒吗
@mxk 能够防止直接的入侵，若esxi存在弱密码，其他主机有感染的话，也会被ssh登录上来加密！
请问5版本受影响吗
@mxk 不影响！
我的文件也被网上不明程序加密过，加密exe文件，文件显示只少2byte,软件跟踪没发现异常，怀疑是装载的导入函数或系统异常有问题，后来重装系统，不过在重装系统前，系统不知道加载了一个什么不明进程，程序恢复了。