GhostFrame – Implant ESXi Powiązany z Ransomware Settra

Podsumowanie

GhostFrame to nowo zidentyfikowane narzędzie post-exploatacyjne stworzone specjalnie dla skompromitowanych hipernadzorców VMware ESXi. Umożliwia atakującym posiadającym dostęp do root kontrolowanie maszyn wirtualnych, pozyskiwanie danych uwierzytelniających z systemów Windows gościa i przechodzenie przez wewnętrzne sieci. Narzędzie to powiązane jest z grupą zagrożeń TAG-218 i związane z operacjami ransomware Settra.

Śledztwo

Grupa Insikt odkryła GhostFrame podczas monitorowania infrastruktury TAG-218 i zidentyfikowała zbieżności z działalnością ransomware Settra. Dochodzenie odkryło panel C2 oparty na sieci web oraz implant ESXi, który ustanawia trwałość, modyfikując skrypty startowe i wyłączając zabezpieczenia. Analiza pokazała również, że narzędzie używa charakterystycznego wzorca połączeń TCP na wielu portach do komunikacji C2.

Łagodzenie

Organizacje powinny ściśle ograniczać i monitorować uprzywilejowany dostęp do hostów ESXi, aby zmniejszyć ryzyko kompromitacji na poziomie root. Obrońcy powinni zwracać uwagę na nieautoryzowane zmiany w /etc/rc.local.d/local.sh i próby wyłączania zapory ESXi lub ustawień execInstalledOnly . Monitorowanie sieci również powinno oznaczać jednoczesne aktywności TCP SYN na portach 53, 2222, 3389, 4444, 8443 i 9443.

Reakcja

Kiedy wykryta zostanie złośliwa aktywność, administratorzy powinni zbadać źródło nieautoryzowanego dostępu uprzywilejowanego, zamiast po prostu przywracać wyłączone ustawienia zabezpieczeń. Przeprowadź analizę kryminalistyczną hosta ESXi dla implantu vmhostd-core i zmodyfikowanych skryptów startowych. Izoluj skompromitowany hipernadzorcę i rozpocznij procedury reagowania na incydenty dla wszystkich maszyn wirtualnych hostowanych na zaatakowanym systemie.

Wykonanie Symulacji

• Narracja & Komendy Ataku: Przeciwnik, uzyskawszy trwałość za pomocą ważnych danych uwierzytelniających, stara się ustanowić długoterminowe zaplecze. Aby uniknąć wykrycia przez administratorów systemu monitorujących środowisko ESXi, wdrażają niestandardowy implant. Przeciwnik tworzy katalog /opt/ (jeśli nie istnieje), przenosi swój złośliwy ładunek do /opt/vmhostd-core, i wykonuje go z nazwą procesu vmhostd. Ta konkretna kombinacja ścieżki i nazwy ma na celu wywołanie reguły, ale jest zaprojektowana tak, aby naśladować usługę vmware-hostd używaną przez legitne operacje VMware.

• Skrypt Testu Regresji:

  #!/bin/bash
  # GhostFrame Simulation Script
  # Ten skrypt imituje konfigurację implantu GhostFrame w celu wyzwolenia reguły detekcji.
  
  # 1. Utwórz docelowy katalog
  sudo mkdir -p /opt/
  
  # 2. Utwórz „złośliwy” fałszywy binarny
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. Wykonaj binarny z określoną nazwą/ścieżką wymaganą przez regułę
  # Używamy 'exec -a', aby ustawić nazwę procesu na 'vmhostd', jak wymaga logika detekcji
  echo "[+] Symulacja wykonania implantu GhostFrame..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] Implant działa z PID: $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] Symulacja zakończona."

• Komendy Sprzątające:

  # Usuń pliki i katalogi symulowanego implantu
  sudo rm -f /opt/vmhostd-core
  # Uwaga: Nie usuwamy samego /opt/ ponieważ jest to standardowy katalog Linux.