GhostFrame ESXi インプラントが Settra ランサムウェアに関連

概要

GhostFrameは、特にVMware ESXiハイパーバイザーが侵害された場合に使用される新しいポストエクスプロイテーションフレームワークです。攻撃者がルートアクセスを持つと、仮想マシンを制御したり、ゲストのWindowsシステムから資格情報を収集したり、内部ネットワークを横断したりできます。このフレームワークは、脅威グループTAG-218に関連しており、Settraランサムウェア操作と関連しています。

調査

Insikt GroupはTAG-218のインフラストラクチャを監視している間にGhostFrameを発見し、Settraランサムウェア活動との重複を特定しました。この調査では、ウェブベースのC2パネルと起動スクリプトを変更しセキュリティ制御を無効にして永続化を確立するESXiインプラントが発見されました。分析では、フレームワークがC2通信のための特徴的なマルチポートTCP接続パターンを使用していることも示されました。

緩和策

組織は、ルートレベルの侵害リスクを減らすために、ESXiホストへの特権アクセスを厳しく制限し、監視する必要があります。防御者は不正な変更に注意を払い、 /etc/rc.local.d/local.sh とESXiファイアウォールや execInstalledOnly の設定を無効にする試みを確認すべきです。ネットワーク監視はまた、ポート53、2222、3389、4444、8443、9443にわたる同時TCP SYN活動をフラグとして立てるべきです。

対応策

悪意のある活動が検出された場合、管理者は無効化されたセキュリティ設定を復元するだけでなく、不正な特権アクセスの出所を調査するべきです。ESXiホストの vmhostd-core インプラントと変更された起動スクリプトの法医学分析を行います。侵害されたハイパーバイザーを隔離し、影響を受けたシステム上のすべての仮想マシンに対するインシデントレスポンス手順を開始します。

シミュレーション実行

• 攻撃プロセス＆コマンド: 正当な資格情報を使用して永続化を確立した攻撃者は、長期的なバックドアを設定しようとします。ESXi環境を監視するシスアドの検出を避けるため、カスタムインプラントを展開します。攻撃者はディレクトリ /opt/ （存在しない場合）を作成し、悪意のあるペイロードをそこに移動し、 /opt/vmhostd-coreとしてプロセス名を vmhostdで実行します。この特定のパスと名前の組み合わせはルールをトリガーするために意図されていますが、正当なVMware操作が利用する vmware-hostd サービスを模倣しています。

• リグレッションテストスクリプト:

  #!/bin/bash
  # GhostFrameシミュレーションスクリプト
  # このスクリプトはGhostFrameインプラントセットアップを模倣して検知ルールをトリガーします。
  
  # 1. 目的のディレクトリを作成
  sudo mkdir -p /opt/
  
  # 2. 「悪意のある」ダミーバイナリを作成
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. ルールで必要な特定の名前/パスでバイナリを実行
  # 'exec -a' を使用して検知ロジックで必要な 'vmhostd' としてプロセス名を設定
  echo "[+] GhostFrameインプラント実行をシミュレート中..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] インプラントがPID: $SIM_PIDで実行中"
  sleep 5
  kill $SIM_PID
  echo "[+] シミュレーション完了。"

• クリーンアップコマンド:

  # シミュレーションされたインプラントファイルとディレクトリを削除
  sudo rm -f /opt/vmhostd-core
  # 注: /opt/自身は標準のLinuxディレクトリであるため削除しません。