Исследователи описали GhostFrame - ранее не документированный набор инструментов для VMware ESXi, который применяют уже после получения доступа к хосту. Имплант даёт единый интерфейс для управления виртуальными машинами, сбора учётных данных и выполнения команд. Работает он не внутри гостевых систем, а на уровне гипервизора - хоста, где эти системы запущены.
Описание
Смысл подхода в точке входа. Один скомпрометированный ESXi-хост открывает дорогу к нескольким виртуальным машинам и данным, которые на них хранятся. Злоумышленнику не нужно взламывать каждую систему отдельно: он управляет средами сверху.
По данным Recorded Future*, GhostFrame обеспечивает закрепление, удалённое администрирование, доступ к учётным данным, сетевое туннелирование и управление гостевыми системами. Собственного способа проникновения у инструмента нет - ему требуются права root на гипервизоре. Исследователи связали имплант с активностью TAG-218, которая пересекается с операторами Settra.
Для закрепления GhostFrame правит сценарий автозапуска на хосте и оставляет процесс vmhostd. В том же этапе он пытается отключить межсетевой экран ESXi и снимает ограничение на запуск только подписанных программ. Вместе это снижает шансы, что защитные механизмы гипервизора заметят постороннюю активность.
Сетевое поведение выдают попытки почти одновременно подключиться к одному адресу через несколько портов. Канал управления операторы получают по первому успешному соединению. Такой признак помогает обнаружить GhostFrame, даже если инфраструктуру управления сменят.
Отдельно исследователи отмечают связь с эксплуатацией CVE-2026-0257 - обхода аутентификации в Palo Alto Networks GlobalProtect. Уязвимость позволяет создать VPN-сессию без действительных учётных данных и без второго фактора проверки. Palo Alto Networks описывала похожий переход: от скомпрометированного VPN-устройства к уровню виртуализации, где злоумышленник отключает защиту ESXi и собирает учётные данные.
Подтверждена связь инструмента с TAG-218 и пересечение с операторами Settra. Авторы анализа не утверждают, что GhostFrame применяет только эта группировка: его могут использовать и другие финансово мотивированные группы, и брокеры доступа. Сколько хостов затронуто и как давно применяют имплант, из опубликованных данных не следует.
Для защиты Recorded Future* советует ограничить и отслеживать привилегированный доступ к ESXi. GhostFrame требует уже полученного root-доступа, поэтому защита административной панели гипервизора остаётся ключевым барьером. Нужно проверять изменения в /etc/rc.local.d/local.sh, появление /opt/vmhostd-core или процесса vmhostd, а также попытки отключить межсетевой экран ESXi или выставить execInstalledOnly в 0. Если защитные настройки снова отключаются, стоит искать механизм закрепления, а не просто возвращать их обратно. Сетевой шаблон с одновременными подключениями к одному адресу на шести портах также можно использовать как поведенческое правило. Сам фреймворк работает как единая консоль для гипервизора: через неё можно перечислять гостевые системы, выполнять команды, собирать учётные данные и использовать заражённый хост как точку входа в несколько виртуальных машин. Именно поэтому компрометация одного ESXi-сервера может дать больше, чем взлом отдельной ВМ.
*Recorded Future признана нежелательной организацией в России.
Индикаторы компрометации
