GhostFrame ESXi 植入物与 Settra 勒索软件连接

摘要

GhostFrame 是一个新发现的后利用框架，专门为被攻陷的 VMware ESXi 超级管理程序所构建。它使拥有 root 访问权限的攻击者能够控制虚拟机，从来宾 Windows 系统中收集凭证，并在内部网络中进行跳转。该框架与威胁组 TAG-218 相关，并与 Settra 勒索软件操作有关。

调查

Insikt Group 在监控 TAG-218 基础设施时发现了 GhostFrame，并发现了与 Settra 勒索软件活动的重叠。调查揭示了一个基于网络的 C2 面板和一个通过修改引导脚本和禁用安全控制来建立持久性的 ESXi 植入物。分析还显示，该框架使用了独特的多端口 TCP 连接模式进行 C2 通信。

缓解措施

组织应严格限制和监控对 ESXi 主机的特权访问，以降低 root 级别的攻陷风险。防御者应监控未经授权的更改至 /etc/rc.local.d/local.sh 和对 ESXi 防火墙或 execInstalledOnly 设置的禁用尝试。网络监控还应标记跨 53, 2222, 3389, 4444, 8443 和 9443 端口的同时 TCP SYN 活动。

响应

检测到恶意活动时，管理员应该调查未经授权的特权访问来源，而不仅仅是恢复被禁用的安全设置。对 ESXi 主机进行法证分析，以查找 vmhostd-core 植入物和修改过的引导脚本。隔离已攻陷的超级管理程序，并为受影响系统上托管的所有虚拟机启动事件响应程序。

仿真执行

• 攻击叙述及命令： 对手在获取有效凭据后获得持久性，试图建立长期后门。为了避免被监控 ESXi 环境的系统管理员检测到，他们部署了一个自定义植入物。对手创建目录 /opt/ （如果不存在），将其恶意负载移动到 /opt/vmhostd-core，并以进程名称执行 vmhostd。这种特定的路径和名称组合旨在触发规则，但被设计成模仿 vmware-hostd 由合法 VMware 操作使用的服务。

• 回归测试脚本：

  #!/bin/bash
  # GhostFrame 仿真脚本
  # 该脚本模拟 GhostFrame 植入设置以触发检测规则。
  
  # 1. 创建目标目录
  sudo mkdir -p /opt/
  
  # 2. 创建一个“恶意”虚拟二进制文件
  echo -e '#!/bin/bashnwhile true; do sleep 60; done' | sudo tee /opt/vmhostd-core > /dev/null
  sudo chmod +x /opt/vmhostd-core
  
  # 3. 使用规则要求的特定名称/路径执行二进制文件
  # 我们使用 'exec -a' 将进程名称设置为规则所需的 'vmhostd'
  echo "[+] 正在模拟 GhostFrame 植入执行..."
  sudo exec -a vmhostd /opt/vmhostd-core &
  
  SIM_PID=$!
  echo "[+] 植入正在运行，PID: $SIM_PID"
  sleep 5
  kill $SIM_PID
  echo "[+] 仿真完成。"

• 清理命令：

  # 移除模拟植入文件和目录
  sudo rm -f /opt/vmhostd-core
  # 注意：我们不移除 /opt/ 本身，因为它是一个标准的 Linux 目录。