Implante GhostFrame ESXi Vinculado ao Ransomware Settra

Resumo

GhostFrame é um framework de pós-exploração recém-identificado, construído especificamente para hypervisores VMware ESXi comprometidos. Ele permite que atacantes com acesso root controlem máquinas virtuais, coletem credenciais de sistemas Windows convidados e se movam lateralmente através de redes internas. O framework está vinculado ao grupo de ameaças TAG-218 e associado às operações do ransomware Settra.

Investigação

O Insikt Group descobriu o GhostFrame enquanto monitorava a infraestrutura do TAG-218 e identificou sobreposições com a atividade do ransomware Settra. A investigação revelou um painel C2 baseado na web e um implante ESXi que estabelece persistência modificando scripts de boot e desativando controles de segurança. A análise também mostrou o uso do framework de um padrão distinto de conexão TCP multi-porta para comunicação C2.

Mitigação

As organizações devem restringir e monitorar rigorosamente o acesso privilegiado aos hosts ESXi para reduzir o risco de comprometimento em nível root. Os defensores devem observar alterações não autorizadas em /etc/rc.local.d/local.sh e tentativas de desativar o firewall ESXi ou execInstalledOnly configurações. A monitoração de rede também deve sinalizar atividade TCP SYN simultânea nas portas 53, 2222, 3389, 4444, 8443 e 9443.

Resposta

Quando uma atividade maliciosa é detectada, os administradores devem investigar a fonte do acesso privilegiado não autorizado ao invés de simplesmente restaurar as configurações de segurança desativadas. Realizar análise forense do host ESXi para o vmhostd-core implante e scripts de inicialização modificados. Isole o hypervisor comprometido e inicie procedimentos de resposta a incidentes para todas as máquinas virtuais hospedadas no sistema afetado.

Execução de Simulação

• Narrativa e Comandos do Ataque: O adversário, tendo ganho persistência por meio de credenciais válidas, busca estabelecer uma porta dos fundos de longo prazo. Para evitar detecção por sysadmins que monitoram o ambiente ESXi, eles implantam um implante personalizado. O adversário cria um diretório /opt/ (se não existir), move sua carga útil maliciosa para /opt/vmhostd-core, e a executa com o nome de processo vmhostd. Esta combinação específica de caminho e nome é destinada a disparar a regra, mas é projetada para imitar o serviço vmware-hostd usado por operações legítimas do VMware.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de Simulação de GhostFrame
  # Este script imita a configuração do implante GhostFrame para acionar a regra de detecção.
  
  # 1. Criar o diretório alvo
  sudo mkdir -p /opt/
  
  # 2. Criar um binário "malicioso" fictício
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. Executar o binário com o nome/caminho específico exigido pela regra
  # Usamos 'exec -a' para definir o nome do processo como 'vmhostd' conforme exigido pela lógica de detecção
  echo "[+] Simulando execução do implante GhostFrame..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] Implante em execução com PID: $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] Simulação completa."

• Comandos de Limpeza:

  # Remover os arquivos e diretórios de implante simulados
  sudo rm -f /opt/vmhostd-core
  # Nota: Não removemos /opt/ em si pois é um diretório padrão do Linux.