Le groupe Akira Ransomware exploite une vulnérabilité zero-day dans VMware vCenter Server pour compromettre des infrastructures de virtualisation ESXi à grande échelle. Depuis début mars 2026, au moins 47 organisations ont été touchées en Europe et en Amérique du Nord, avec des rançons allant de 500 000 à 5 millions de dollars. Les attaquants utilisent la faille vCenter comme point d entrée initial, puis déploient un chiffreur Linux spécifiquement conçu pour les datastores VMFS. VMware a publié un correctif d urgence le 2 avril.

Chaîne d attaque observée

L analyse forensique des incidents révèle une chaîne d attaque en 5 phases :

  1. Accès initial : exploitation de la faille vCenter (CVSS 9.1) pour obtenir un shell sur le serveur vCenter
  2. Reconnaissance : inventaire des hosts ESXi, datastores et VMs critiques via les API vSphere
  3. Mouvement latéral : connexion SSH aux hosts ESXi avec les credentials vCenter compromises
  4. Exfiltration : copie des fichiers VMDK critiques vers un serveur de staging via rsync chiffré
  5. Chiffrement : déploiement du ransomware Akira Linux pour chiffrer les fichiers .vmdk, .vmx et .vmxf
PhaseTTPs MITREOutils observés
Accès initialT1190Exploit custom vCenter
PersistenceT1098Comptes locaux ESXi
ExfiltrationT1048rsync, rclone
ImpactT1486Akira Linux encryptor

Mesures de protection immédiates

  • Patcher vCenter immédiatement (VMSA-2026-0008)
  • Isoler le management plane : vCenter et ESXi ne doivent jamais être exposés sur Internet
  • Activer le lockdown mode sur tous les hosts ESXi
  • Sauvegardes offline : vérifier que les sauvegardes Veeam/NAKIVO sont sur un réseau isolé
  • MFA obligatoire sur les accès vSphere Client

Pour renforcer la sécurité de votre infrastructure de virtualisation, consultez nos guides sur le hardening Proxmox et la sécurisation ESXi/vSphere.

À retenir

Les infrastructures de virtualisation sont devenues la cible n°1 des groupes ransomware en 2026. Un seul vCenter compromis peut entraîner le chiffrement de centaines de VMs en quelques heures. Segmentez le management plane et maintenez des sauvegardes immuables offline.

Sources : VMware Security Advisories | Mandiant Threat Intel