GhostFrame ESXi Implantat mit Settra-Ransomware verknüpft

Zusammenfassung

GhostFrame ist ein neu identifiziertes Post-Exploitation-Framework, das speziell für kompromittierte VMware ESXi-Hypervisoren entwickelt wurde. Es ermöglicht Angreifern mit Root-Zugriff, virtuelle Maschinen zu kontrollieren, Anmeldeinformationen von Gast-Windows-Systemen zu sammeln und sich über interne Netzwerke zu bewegen. Das Framework ist mit der Bedrohungsgruppe TAG-218 verbunden und steht in Verbindung mit Settra Ransomware-Operationen.

Untersuchung

Die Insikt Group entdeckte GhostFrame während der Überwachung der TAG-218-Infrastruktur und identifizierte Überschneidungen mit der Settra-Ransomware-Aktivität. Die Untersuchung deckte ein webbasiertes C2-Panel und ein ESXi-Implantat auf, das Persistenz durch Modifikation von Startskripten und Deaktivierung von Sicherheitskontrollen herstellt. Die Analyse zeigte auch, dass das Framework ein charakteristisches Mehrfachport-TCP-Verbindungsmuster für die C2-Kommunikation verwendet.

Minderung

Organisationen sollten den privilegierten Zugriff auf ESXi-Hosts streng einschränken und überwachen, um das Risiko eines Root-Kompromisses zu reduzieren. Verteidiger sollten auf nicht autorisierte Änderungen an /etc/rc.local.d/local.sh und Versuche achten, die ESXi-Firewall oder execInstalledOnly Einstellungen zu deaktivieren. Auch eine Netzwerküberwachung sollte gleichzeitige TCP SYN-Aktivitäten über die Ports 53, 2222, 3389, 4444, 8443 und 9443 kennzeichnen.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, sollten Administratoren die Quelle des nicht autorisierten privilegierten Zugriffs untersuchen, anstatt einfach die deaktivierten Sicherheitseinstellungen wiederherzustellen. Führen Sie eine forensische Analyse des ESXi-Hosts für das vmhostd-core Implantat und die modifizierten Startskripte durch. Isolieren Sie den kompromittierten Hypervisor und leiten Sie Reaktionsverfahren für alle virtuellen Maschinen auf dem betroffenen System ein.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner, der durch gültige Anmeldedaten Persistenz erlangt hat, sucht nach einem langfristigen Hintertürzugang. Um der Erkennung durch Systemadministratoren, die die ESXi-Umgebung überwachen, zu entgehen, setzen sie ein benutzerdefiniertes Implantat ein. Der Gegner erstellt ein Verzeichnis /opt/ (falls nicht vorhanden), verschiebt seine bösartige Nutzlast nach /opt/vmhostd-core, und führt es mit dem Prozessnamen vmhostdaus. Diese spezielle Kombination aus Pfad und Name soll die Regel auslösen, ist jedoch so konzipiert, dass sie den Dienst vmware-hostd ahmt, der von legitimen VMware-Operationen verwendet wird.

• Regressionstest-Skript:

  #!/bin/bash
  # GhostFrame-Simulationsskript
  # Dieses Skript imitiert die GhostFrame-Implantat-Einrichtung, um die Erkennungsregel auszulösen.
  
  # 1. Erstellen Sie das Zielverzeichnis
  sudo mkdir -p /opt/
  
  # 2. Erstellen Sie ein "bösartiges" Dummy-Binärpaket
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. Führen Sie das Binärpaket mit dem spezifischen Namen/Pfad aus, der von der Regel erforderlich ist
  # Wir verwenden 'exec -a', um den Prozessnamen auf 'vmhostd' zu setzen, wie von der Erkennungslogik gefordert
  echo "[+] Simulieren der GhostFrame-Implantat-Ausführung..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] Implantat läuft mit PID: $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] Simulation abgeschlossen."

• Bereinigungskommandos:

  # Entfernen Sie die simulierten Implantatdateien und -verzeichnisse
  sudo rm -f /opt/vmhostd-core
  # Hinweis: /opt/ selbst wird nicht entfernt, da es sich um ein Standard-Linux-Verzeichnis handelt.