Impianto GhostFrame ESXi Collegato al Ransomware Settra

Sommario

GhostFrame è un framework post-exploitation di recente identificazione costruito specificamente per hypervisor VMware ESXi compromessi. Permette agli attaccanti con accesso root di controllare le macchine virtuali, raccogliere credenziali dai sistemi Windows guest e spostarsi attraverso le reti interne. Il framework è collegato al gruppo di minaccia TAG-218 e associato alle operazioni ransomware Settra.

Indagine

Il gruppo Insikt ha scoperto GhostFrame mentre monitorava l’infrastruttura TAG-218 e ha identificato sovrapposizioni con l’attività ransomware Settra. L’indagine ha rivelato un pannello C2 basato su web e un impianto ESXi che stabilisce la persistenza modificando script di avvio e disabilitando i controlli di sicurezza. L’analisi ha anche mostrato che il framework utilizza un distintivo schema di connessione TCP multi-porta per la comunicazione C2.

Mitigazione

Le organizzazioni dovrebbero limitare e monitorare strettamente l’accesso privilegiato agli host ESXi per ridurre il rischio di compromissione a livello root. I difensori dovrebbero monitorare eventuali modifiche non autorizzate a /etc/rc.local.d/local.sh e tentativi di disabilitare il firewall ESXi o execInstalledOnly impostazioni. Il monitoraggio della rete dovrebbe anche segnalare attività TCP SYN simultanee sulle porte 53, 2222, 3389, 4444, 8443 e 9443.

Risposta

Quando viene rilevata attività malevola, gli amministratori dovrebbero indagare sulla fonte dell’accesso privilegiato non autorizzato piuttosto che semplicemente ripristinare le impostazioni di sicurezza disabilitate. Effettuare un’analisi forense dell’host ESXi per l’impianto vmhostd-core e script di avvio modificati. Isolare l’hypervisor compromesso e avviare procedure di risposta agli incidenti per tutte le macchine virtuali ospitate sul sistema interessato.

Esecuzione della Simulazione

• Narrazione e Comandi dell’Attacco: L’avversario, avendo ottenuto persistenza tramite credenziali valide, cerca di stabilire una backdoor a lungo termine. Per evitare rilevamenti da parte degli amministratori di sistema che monitorano l’ambiente ESXi, essi distribuiscono un impianto personalizzato. L’avversario crea una directory /opt/ (se non esistente), sposta il loro payload malevolo in /opt/vmhostd-core, ed esegue lo stesso con il nome del processo vmhostd. Questa specifica combinazione di percorso e nome è intesa a innescare la regola ma è progettata per imitare il servizio vmware-hostd usato dalle operazioni legittime di VMware.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di Simulazione GhostFrame
  # Questo script imita la configurazione dell'impianto GhostFrame per innescare la regola di rilevamento.
  
  # 1. Creare la directory di destinazione
  sudo mkdir -p /opt/
  
  # 2. Creare un "binary" dummy "malevolo"
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. Eseguire il binario con il nome/percorso specifico richiesto dalla regola
  # Usiamo 'exec -a' per impostare il nome del processo a 'vmhostd' come richiesto dalla logica di rilevamento
  echo "[+] Simulazione dell'esecuzione dell'impianto GhostFrame..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] Impianto in esecuzione con PID: $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] Simulazione completata."

• Comandi di Pulizia:

  # Rimuovere i file e le directory dell'impianto simulato
  sudo rm -f /opt/vmhostd-core
  # Nota: Non rimuoviamo /opt/ poiché è una directory standard di Linux.