Was unsere Kunden am meisten beunruhigte, war nicht nur die Ransomware selbst. Vielmehr war es die Erkenntnis, dass sie weiterhin kritische Anwendungen auf älteren VMware-Versionen betrieben, die sie nicht mehr auf herkömmlichem Wege patchen konnten. Sobald diese Sicherheitslücke besteht, wird jeder Tag zu einem Risiko.
Ein Sangfor-Partner für die Philippinen reflektiert über aktuelle Kundenvorfälle.
Für viele IT-Teams ist Ransomware keine ferne Möglichkeit mehr. Sie ist eine operative Realität, die den Geschäftsbetrieb innerhalb von Stunden, nicht Wochen, lahmlegen kann. Dieses Risiko wird noch akuter, wenn die Infrastruktur, die den Kernlasten zugrunde liegt, auf veralteten, anfälligen oder schwer aktuell zu haltenden Softwareversionen basiert.
Genau deshalb sind die jüngsten Warnungen vor VMware-Sicherheitslücken so wichtig. Im Februar 2026 berichtete BleepingComputer, dass die CISA bestätigt hatte, dass Ransomware-Gruppen eine schwerwiegende Sicherheitslücke in VMware ESXi (CVE-2025-22225) ausnutzten, die es ermöglichte, aus der Sandbox auszubrechen. Diese Sicherheitslücke war bereits zuvor für Zero-Day-Angriffe missbraucht worden. Broadcom hatte die Schwachstelle zwar im März 2025 behoben, doch der Vorfall verdeutlichte eine bittere Realität: Wenn Unternehmen weiterhin veraltete oder nicht mehr unterstützte Infrastrukturen betreiben, kann die Kluft zwischen einer veröffentlichten Fehlerbehebung und dem tatsächlichen Risiko gefährlich groß werden.
Dieses Problem tritt zu einem Zeitpunkt auf, an dem viele Unternehmen nicht nur mit dem Schwachstellenmanagement zu kämpfen haben. Sie müssen auch Produktlebenszyklusfristen, Änderungen der Supportrichtlinien, Budgetdruck und die operative Komplexität der Sicherung bestehender Virtualisierungsumgebungen bewältigen, ohne den Geschäftsbetrieb zu beeinträchtigen.
Das Richtlinienproblem: Wenn Patches keine Option mehr sind
Für viele Organisationen geht es bei der Einspielung von Patches nicht mehr nur um Ausfallzeiten oder zusätzlichen Betriebsaufwand. Es geht auch um die Einhaltung von Lizenzbestimmungen.
Nach der Übernahme von VMware durch Broadcom hat sich die Supportlandschaft für unbefristete (Kauf-)Lizenzen grundlegend verändert. Kernproblem: Wenn Ihre VMware-Version nicht mehr unterstützt wird und Sie nicht auf ein Abonnementmodell umgestiegen sind, erhalten Sie weder rechtlich noch technisch keine offiziellen Patches mehr.
Betrachten wir die Situation, mit der viele Kunden jetzt konfrontiert sind:
- vSphere 7.x-Benutzer: Der allgemeine Support endete im Oktober 2025. Sie befinden sich nun in einer Phase der "technischen Beratung" (bis Oktober 2027), in der keine neuen Sicherheitspatches mehr bereitgestellt werden.
- vSphere 6.x und früher: Diese Versionen haben das Ende des allgemeinen Supports (EoGS) längst überschritten.
- Kunden mit abgelaufenen Wartungsverträgen: Selbst bei unterstützten Versionen wie vSphere 8.x erhalten Sie keine Updates mehr, wenn Ihr Wartungsvertrag abgelaufen ist. Wie prominente Fälle wie der des Einzelhändlers Tesco zeigen, wird Kunden mitgeteilt, dass sie Updates nur installieren können, wenn sie auf ein Abonnement umsteigen.
Dies führt zu einem erschreckenden Paradoxon: Die am stärksten gefährdeten Systeme sind diejenigen, die auf nicht mehr unterstützten Versionen ohne zukünftige Patches laufen. Angreifer wissen das. Sie suchen gezielt nach Systemen mit diesen veralteten, nicht patchbaren Versionen, da sie wissen, dass die Sicherheitslücke CVE-2021-21974 (und ähnliche) ein permanent offenes Einfallstor darstellt.
Anatomie eines Angriffs auf ein ungepatchtes System
Der ESXiArgs-Ransomware-Angriff ist ein Paradebeispiel für einen schleichenden Exploit, der verheerende Folgen haben kann, wenn er nicht behoben wird. Wie unsere Analyse zeigt, verläuft der Angriff in klar definierten Phasen, sobald über CVE-2021-21974 ein erster Zugang erlangt wurde:
- Erster Zugriff (CVE-2021-21974): Der Angreifer nutzt den Heap-Überlauf im OpenSLP-Dienst über den UDP-Port 427 aus, um die Ausführung von Remote-Code zu ermöglichen.
- Bereitstellung: Schadsoftware (encrypt, encrypt.sh, public.pem) wird in das Verzeichnis /tmp/ abgelegt.
- Erkennung und Verschlüsselung: Die Ransomware durchsucht alle Speichermedien und zielt dabei auf kritische Dateien virtueller Maschinen ab, wie z. B. .vmdk (virtuelle Festplatten), .vmx (VM-Konfiguration) und .vswp (Auslagerungsdateien). Sie verwendet eine Kombination aus dem Sosemanuk-Algorithmus und RSA-Verschlüsselung, um die Dateien zu sperren.
- Abwehrmaßnahmen: Um eine Wiederherstellung zu verhindern, werden Systemprotokolle, geplante Aufgaben und Sicherungsdateien gelöscht.
- Lösegeldforderung: Die Datei „How to Restore Your Files.html“ wird im System hinterlassen und fordert eine Zahlung.
Für Unternehmen, die nicht mehr unterstützte VMware-Versionen verwenden, sind die in herkömmlichen Sicherheitshinweisen empfohlenen Maßnahmen, wie beispielsweise ein Upgrade auf eine gepatchte Version, keine Option. Ihnen bleiben nur zwei Möglichkeiten: die geforderte Summe zahlen (was niemals empfehlenswert ist) oder ihre Daten verlieren.
Aufbau einer resilienten Zukunft: Sicherheit jenseits des Patch-Zyklus
Dieser Vorfall verdeutlicht einen entscheidenden Wandel in der IT-Strategie: Infrastrukturen, die keine Sicherheitsupdates erhalten können, sind nicht mehr tragbar. Sich auf den Patch-Zyklus eines Anbieters zu verlassen, insbesondere wenn dieser an ein Abonnementmodell mit strengen Lizenzbedingungen gebunden ist, schafft einen zentralen Schwachpunkt für Ihre gesamte Sicherheitsarchitektur.
Für die Kunden unserer Partner und für jede Organisation, die vor dieser Herausforderung steht, ist es an der Zeit, Alternativen in Betracht zu ziehen, die Sicherheit von Grund auf integrieren, anstatt sie als optionales Zusatzfeature zu behandeln.
Sangfor Virtualization bietet einen überzeugenden Weg in die Zukunft. Basierend auf dem Prinzip der Sicherheitsintegration ist Sangfor Hypervisor nicht nur eine Plattform zum Ausführen Ihrer VMs, sondern eine vollständige Rechenzentrumslösung, bei der Sicherheit im Mittelpunkt steht.
So behebt Sangfor die Ursache des ESXiArgs-Problems:
- Einheitliche Sicherheit und Infrastruktur: Im Gegensatz zum fragmentierten Modell eines Drittanbieter-Hypervisors, der separate Sicherheitstools erfordert, integriert Sangfor HCI nativ Anti-Ransomware-Funktionen, Next-Generation-Firewall-Funktionen und Mikrosegmentierung. Dieser Ansatz, der Sicherheit von Grund auf integriert und nicht nachträglich hinzugefügt hat, bedeutet, dass Sicherheitsrichtlinien Teil der Infrastruktur selbst sind.
- Proaktive Bedrohungserkennung: Unsere Plattform nutzt KI und Verhaltensanalyse, um Ransomware-Verhaltensweisen wie die massenhafte Verschlüsselung von Dateien oder das Löschen von Backups in Echtzeit zu erkennen und Angriffe zu stoppen, bevor sie Schaden anrichten können.
- Die Patch-Abhängigkeit beseitigen: Mit Sangfor sind Sie nicht mehr von der Patch-Richtlinie eines Drittanbieters für einen Kern-Hypervisor abhängig. Ihre Sicherheitsupdates sind Teil eines einheitlichen, übersichtlichen Software-Stacks, der die Ausfallsicherheit Ihrer Infrastruktur ohne komplexe Lizenzierungshürden gewährleistet.
- Optimierter Betrieb: Die Migration von einer bestehenden VMware-Umgebung zu Sangfor HCI vereinfacht Ihr Rechenzentrum. Sie reduzieren die Komplexität der Lizenzierung, senken die Gesamtbetriebskosten und erhalten eine zentrale Benutzeroberfläche für die Verwaltung von Rechenleistung und Sicherheit.
- Technologie und Services vereint: Nutzen Sie die Sicherheitsexpertise unserer MDR-Services , um Ihre virtuelle Infrastruktur auf Anzeichen potenzieller Ransomware-Aktivitäten zu überwachen. Unsere Endpunkt- und Netzwerksensoren sind nativ in HCI integriert und bieten unseren MDR-Services die notwendige Transparenz, um Sicherheitsvorfälle zu erkennen und darauf zu reagieren. So wird unsere Lösung von einer einfachen Virtualisierungslösung zu einem umfassenden, sicheren Computing-Erlebnis.
Was Sie als Nächstes tun können
| Aktion | VMware-Pfad | Sangfor-Pfad |
| 1. Machen Sie den ersten Schritt | Wenden Sie sich an Ihren VMware-Partner oder Vertriebsmitarbeiter, um die Lizenzierungsoptionen zu besprechen. | Sprechen Sie noch heute mit Sangfor , um Ihre aktuelle VMware-Umgebung zu analysieren und Risiken zu identifizieren. |
| 2. Prüfen Sie Ihren Upgrade-Plan. | Aktualisieren Sie Ihr Abonnement und Ihr Lizenzmodell, bevor Sie Patches erhalten. | Sie erhalten einen personalisierten Migrationsplan inklusive einer voll funktionsfähigen Demo-Umgebung. |
| 3. Kurzfristige Lösungen anwenden | Laden Sie Patches herunter, sofern Ihre Lizenz dies noch zulässt. | Wechseln Sie zu Sangfor Virtualization mit integrierter Sicherheit, die nicht auf fragmentierten Patch-Zyklen beruht. |
| 4. Wiederherstellung des Betriebs | Vorfälle werden reaktiv gelöst, oft erst, nachdem der Schaden bereits entstanden ist. | Ermöglichen Sie proaktive Prävention durch integrierten Anti-Ransomware-Schutz, KI-Erkennung und Mikrosegmentierung. |
Der ESXiArgs-Ausbruch ist mehr als nur eine weitere Ransomware-Kampagne; er ist ein Symptom eines gescheiterten Betriebsmodells. Organisationen, die an nicht unterstützten, „nicht patchbaren“ Altsystemen festhalten, akzeptieren nicht nur ein Risiko, sondern provozieren eine Katastrophe.
Mit dem Wechsel zu einer Plattform wie Sangfor Virtualization, bei der Sicherheit ein integraler und stets aktualisierter Bestandteil der Infrastruktur ist, können Sie sich endlich vom Teufelskreis aus Sicherheitslücken und unlizenzierter Offenlegung befreien. Warten Sie nicht auf den nächsten unvermeidlichen Angriff auf eine alte Sicherheitslücke, der Sie zum Handeln zwingt.
