Implant GhostFrame ESXi lié au ransomware Settra

Résumé

GhostFrame est un nouveau cadre de post-exploitation spécifiquement conçu pour les hyperviseurs VMware ESXi compromis. Il permet aux attaquants ayant l’accès root de contrôler les machines virtuelles, de récolter les identifiants des systèmes Windows invités, et de pivoter à travers les réseaux internes. Ce cadre est lié au groupe de menaces TAG-218 et associé aux opérations de rançongiciel Settra.

Enquête

Insikt Group a découvert GhostFrame en surveillant l’infrastructure de TAG-218 et a identifié des chevauchements avec l’activité de rançongiciel Settra. L’enquête a révélé un panneau C2 basé sur le web et un implant ESXi qui établit la persistance en modifiant les scripts de démarrage et en désactivant les contrôles de sécurité. L’analyse a également montré que le cadre utilise un modèle de connexion TCP multi-port distinctif pour la communication C2.

Atténuation

Les organisations doivent restreindre étroitement et surveiller l’accès privilégié aux hôtes ESXi pour réduire le risque de compromis au niveau root. Les défenseurs doivent surveiller les changements non autorisés à /etc/rc.local.d/local.sh et les tentatives de désactivation du pare-feu ESXi ou des paramètres execInstalledOnly . La surveillance réseau devrait également signaler une activité TCP SYN simultanée sur les ports 53, 2222, 3389, 4444, 8443 et 9443.

Réponse

Lorsque l’activité malveillante est détectée, les administrateurs doivent enquêter sur la source de l’accès privilégié non autorisé plutôt que de simplement rétablir les paramètres de sécurité désactivés. Effectuer une analyse criminelle de l’hôte ESXi pour l’implant vmhostd-core et les scripts de démarrage modifiés. Isoler l’hyperviseur compromis et initier des procédures de réponse à incident pour toutes les machines virtuelles hébergées sur le système affecté.

Exécution de simulation

• Narration d’attaque & Commandes : L’adversaire, après avoir obtenu la persistance via des identifiants valides, cherche à établir une porte dérobée à long terme. Pour éviter d’être détecté par les administrateurs système surveillant l’environnement ESXi, il déploie un implant personnalisé. L’adversaire crée un répertoire /opt/ (s’il n’existe pas), déplace leur charge utile malveillante dans /opt/vmhostd-core, et l’exécute avec le nom de processus vmhostd. Cette combinaison spécifique de chemin et de nom est conçue pour déclencher la règle mais est destinée à imiter le service vmware-hostd utilisé par les opérations VMware légitimes.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation GhostFrame
  # Ce script imite la configuration d'implant GhostFrame pour déclencher la règle de détection.
  
  # 1. Créer le répertoire cible
  sudo mkdir -p /opt/
  
  # 2. Créer un binaire "malveillant" factice
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. Exécuter le binaire avec le nom/chemin spécifique requis par la règle
  # Nous utilisons 'exec -a' pour définir le nom du processus sur 'vmhostd' comme requis par la logique de détection
  echo "[+] Simulation de l'exécution de l'implant GhostFrame..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] Implant en cours d'exécution avec PID : $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] Simulation terminée."

• Commandes de nettoyage :

  # Supprimer les fichiers et répertoires d'implants simulés
  sudo rm -f /opt/vmhostd-core
  # Remarque : Nous ne supprimons pas /opt/ lui-même car c'est un répertoire standard de Linux.