Імплант GhostFrame ESXi Пов’язаний з Вимагачем Settra

Резюме

GhostFrame — це нещодавно ідентифікована структура постексплуатації, спеціально розроблена для скомпрометованих гіпервізорів VMware ESXi. Вона дозволяє зловмисникам з правами root контролювати віртуальні машини, збирати облікові дані з гостьових систем Windows і переходити через внутрішні мережі. Ця структура пов’язана з групою загроз TAG-218 і асоціюється з операціями вимагачів Settra.

Розслідування

Група Insikt виявила GhostFrame під час моніторингу інфраструктури TAG-218 і виявила перетини з активністю вірусу-вимагача Settra. Розслідування виявило веб-орієнтовану C2 панель та імплант ESXi, який створює стійкість шляхом модифікації завантажувальних скриптів та відключення засобів безпеки. Аналіз також показав використання рамкою характерної багатопортової TCP-шаблону з’єднання для C2-комунікації.

Засоби пом’якшення

Організації повинні строго обмежити та контролювати привілейований доступ до хостів ESXi, щоб зменшити ризик компрометації на рівні root. Захисники повинні слідкувати за неавторизованими змінами в /etc/rc.local.d/local.sh і спробами відключити брандмауер ESXi або execInstalledOnly налаштування. Мережевий моніторинг також повинен відзначати одночасну активність TCP SYN через порти 53, 2222, 3389, 4444, 8443 та 9443.

Відповідь

Коли виявлено зловмисну ​​активність, адміністратори повинні дослідити джерело несанкціонованого привілейованого доступу, а не просто відновлювати відключені налаштування безпеки. Проведіть форензичний аналіз хосту ESXi для vmhostd-core імпланта та модифікованих завантажувальних скриптів. Ізолюйте скомпрометований гіпервізор та почніть процедури реагування на інциденти для всіх віртуальних машин, розміщених на ураженій системі.

Виконання симуляції

• Опис атаки та команди: Супротивник, отримавши стійкість через дійсні облікові дані, намагається встановити тривалий бекдор. Щоб уникнути виявлення системними адміністраторами, які контролюють середовище ESXi, вони розгортають спеціальний імплант. Супротивник створює каталог /opt/ (якщо не існує), переміщує свій шкідливий файл до /opt/vmhostd-core, і виконує його з ім’ям процесу vmhostd. Ця специфічна комбінація шляху та імені налаштована так, щоб спровокувати спрацьовування правила, але розроблена для маскування під службу vmware-hostd яка використовується в легітимних операціях VMware.

• Скрипт регресивного тестування:

  #!/bin/bash
  # Скрипт симуляції GhostFrame
  # Цей скрипт імітує налаштування імпланта GhostFrame для спровокування правила виявлення.
  
  # 1. Створити цільовий каталог
  sudo mkdir -p /opt/
  
  # 2. Створити «шкідливий» підставний бінарний файл
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. Виконати бінарний файл з конкретним ім'ям/шляхом, потрібним для правила
  # Ми використовуємо 'exec -a' для встановлення імені процесу 'vmhostd', як потрібно для логіки виявлення
  echo "[+] Симуляція виконання імпланта GhostFrame..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] Імплант запущено з PID: $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] Симуляцію завершено."

• Команди очищення:

   # Видалити імплантаційні файли та каталоги
  sudo rm -f /opt/vmhostd-core
  # Примітка: Ми не видаляємо /opt/ саме, оскільки це стандартний каталог Linux.