고스트프레임 ESXi 임플란트, Settra 랜섬웨어와 연관

요약

GhostFrame은 손상된 VMware ESXi 하이퍼바이저를 위해 특별히 설계된 신규 사후 탐지 프레임워크입니다. 이 프레임워크는 공격자가 루트 접근 권한을 통해 가상 머신을 제어하고, 게스트 Windows 시스템에서 자격 증명을 수집하며, 내부 네트워크를 통해 움직이게 합니다. 이 프레임워크는 TAG-218 위협 그룹과 연관되어 있으며 Settra 랜섬웨어 작전과 관련이 있습니다.

조사

Insikt Group은 TAG-218 인프라를 모니터링하면서 GhostFrame을 발견하고 Settra 랜섬웨어 활동과의 중복성을 확인했습니다. 조사를 통해 웹 기반 C2 패널과 부트 스크립트를 수정하고 보안 통제를 비활성화하여 지속성을 확보하는 ESXi 임플란트를 밝혀냈습니다. 분석 결과 이 프레임워크가 C2 통신을 위해 독특한 다중 포트 TCP 연결 패턴을 사용하는 것이 드러났습니다.

완화

조직은 루트 수준의 침해 위험을 줄이기 위해 ESXi 호스트에 대한 권한 있는 접근을 엄격히 제한하고 모니터링해야 합니다. 방어자는 /etc/rc.local.d/local.sh 에 대한 무단 변경 및 ESXi 방화벽 비활성화 또는 execInstalledOnly 설정을 비활성화하려는 시도를 주의해야 합니다. 네트워크 모니터링은 또한 포트 53, 2222, 3389, 4444, 8443, 9443에서 동시 TCP SYN 활동을 플래그해야 합니다.

대응

악성 활동이 탐지되면 관리자는 단순히 비활성화된 보안 설정을 복원하는 대신 무단 권한 접근의 출처를 조사해야 합니다. ESXi 호스트에서 vmhostd-core 임플란트 및 수정된 부트 스크립트를 대상으로 포렌식 분석을 수행하십시오. 손상된 하이퍼바이저를 격리하고 영향을 받은 시스템에서 호스팅된 모든 가상 머신에 대해 사고 대응 절차를 시작하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 유효한 자격 증명을 통해 지속성을 확보한 후 장기 백도어를 구축하려고 합니다. ESXi 환경을 모니터링하는 시스템 관리자에 의해 탐지되는 것을 피하기 위해, 이들은 맞춤형 임플란트를 배포합니다. 공격자는 디렉터리를 생성합니다. /opt/ (존재하지 않는 경우) 악성 페이로드를 /opt/vmhostd-core로 이동시키고 프로세스 이름으로 vmhostd를 사용하여 실행합니다. 이 특정 경로 및 이름의 조합은 규칙을 촉발하도록 설계되었지만 합법적인 VMware 운영에서 사용되는 vmware-hostd 서비스를 모방하도록 되어 있습니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # GhostFrame 시뮬레이션 스크립트
  # 이 스크립트는 GhostFrame 임플란트 설정을 모방하여 탐지 규칙을 작동시킵니다.
  
  # 1. 대상 디렉터리 생성하기
  sudo mkdir -p /opt/
  
  # 2. "악성" 더미 바이너리 생성하기
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. 특정 이름/경로로 바이너리 실행하기
  # 탐지 논리에 필요해지는 프로세스 이름을 'vmhostd'로 설정하기 위해 'exec -a'를 사용합니다.
  echo "[+] GhostFrame 임플란트 실행 시뮬레이션 중..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] 임플란트가 PID: $SIM_PID로 실행 중입니다."
  sleep 5
  kill $SIM_PID
  echo "[+] 시뮬레이션 완료."

• 정리 명령:

  # 시뮬레이션된 임플란트 파일과 디렉터리 제거하기
  sudo rm -f /opt/vmhostd-core
  # 참고: /opt/ 자체는 표준 Linux 디렉터리이므로 제거하지 않습니다.