Implantación GhostFrame en ESXi vinculada al ransomware Settra

Resumen

GhostFrame es un marco de post-explotación recientemente identificado, construido específicamente para hipervisores VMware ESXi comprometidos. Permite a los atacantes con acceso root controlar máquinas virtuales, recolectar credenciales de sistemas invitados Windows y pivotar a través de redes internas. El marco está vinculado al grupo de amenazas TAG-218 y asociado con operaciones de ransomware Settra.

Investigación

Insikt Group descubrió GhostFrame mientras monitoreaba la infraestructura de TAG-218 e identificó superposiciones con la actividad de ransomware Settra. La investigación descubrió un panel C2 basado en web y un implante ESXi que establece persistencia modificando scripts de arranque y deshabilitando controles de seguridad. Análisis también mostró que el marco utiliza un patrón distintivo de conexión TCP de múltiples puertos para la comunicación C2.

Mitigación

Las organizaciones deben restringir y monitorear estrechamente el acceso privilegiado a los hosts ESXi para reducir el riesgo de compromiso a nivel root. Los defensores deben observar cambios no autorizados en /etc/rc.local.d/local.sh e intentos para deshabilitar el firewall de ESXi o execInstalledOnly configuraciones. El monitoreo de red también debe marcar actividad TCP SYN simultánea a través de los puertos 53, 2222, 3389, 4444, 8443 y 9443.

Respuesta

Cuando se detecta actividad maliciosa, los administradores deben investigar la fuente del acceso privilegiado no autorizado en lugar de simplemente restaurar las configuraciones de seguridad deshabilitadas. Realizar un análisis forense del host ESXi para el vmhostd-core implante y scripts de arranque modificados. Aislar el hipervisor comprometido e iniciar procedimientos de respuesta ante incidentes para todas las máquinas virtuales alojadas en el sistema afectado.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario, habiendo ganado persistencia mediante credenciales válidas, busca establecer una puerta trasera a largo plazo. Para evitar la detección por parte de administradores del sistema que monitorean el entorno ESXi, despliegan un implante personalizado. El adversario crea un directorio /opt/ (si no existe), mueve su carga maliciosa a /opt/vmhostd-core, y lo ejecuta con el nombre de proceso vmhostd. Esta combinación específica de ruta y nombre está destinada a activar la regla pero está diseñada para imitar el vmware-hostd servicio utilizado por operaciones legítimas de VMware.

• Guion de Prueba de Regresión:

  #!/bin/bash
  # Script de Simulación de GhostFrame
  # Este script imita la configuración del implante GhostFrame para activar la regla de detección.
  
  # 1. Crear el directorio objetivo
  sudo mkdir -p /opt/
  
  # 2. Crear un binario "malicioso" ficticio
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. Ejecutar el binario con el nombre/ruta específico requerido por la regla
  # Usamos 'exec -a' para establecer el nombre del proceso en 'vmhostd' como requiere la lógica de detección
  echo "[+] Simulando ejecución del implante GhostFrame..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] Implante ejecutándose con PID: $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] Simulación completa."

• Comandos de Limpieza:

  # Eliminar los archivos y directorios de implantes simulados
  sudo rm -f /opt/vmhostd-core
  # Nota: No eliminamos /opt/ en sí mismo ya que es un directorio estándar de Linux.