近日，Recorded Future 旗下 Insikt Group 研究团队披露了一种名为 GhostFrame 的新型恶意软件框架。该框架针对 VMware ESXi 虚拟化环境设计，攻击者在获得 ESXi 主机 Root 权限后，可以通过统一控制面板管理主机上的虚拟机，并从虚拟机内存快照和虚拟磁盘中提取 Windows 凭证。

研究人员在追踪名为 TAG-218 的攻击组织时发现了该框架。相关攻击活动与 Settra 勒索软件存在关联。GhostFrame 能够在虚拟化层执行操作，无需在目标 Windows 虚拟机内部安装或运行恶意程序，即可获取其中的身份认证信息。

一、GhostFrame 的部署与持久化机制

GhostFrame 提供了一个 Web 管理面板，包含 Sessions（会话管理）和 Builder（构建器）两个模块。其中，Builder 可以生成名为 vmhostd-core 的 ESXi 植入程序。

程序运行后，会将自身复制到 /opt/vmhostd-core，并修改 ESXi 启动脚本 /etc/rc.local.d/local.sh，使其在主机重启后自动运行。

为维持对主机的控制，GhostFrame 还会关闭 ESXi 防火墙，并禁用 execInstalledOnly 功能。该功能原本用于限制未经签名的程序执行。恶意程序每隔约 5 秒便会重新执行相关配置修改，防止安全设置被恢复。

此外，程序会调用 /sbin/auto-backup.sh 保存相关配置，并将自身重命名为 vmhostd，伪装成 VMware 原有的 vmware-hostd 服务。

在网络通信方面，GhostFrame 会同时尝试通过 53、2222、3389、4444、8443 和 9443 六个端口连接命令与控制服务器（C2），成功建立连接后保留可用通道。如果 30 秒内未能连接，则等待 5 至 12 秒后重新尝试。

连接建立后，GhostFrame 可以将代码直接加载到内存中执行。如果内存分配失败，则会通过 /bin/sh 建立反向 Shell。

二、通过管理面板控制虚拟机

GhostFrame 提供了针对 ESXi 主机及其虚拟机的集中管理能力。攻击者可以通过 Web 面板查看虚拟机列表、修改虚拟机电源状态，以及创建或删除虚拟机快照。

此外，该框架还支持开启虚拟机的 VNC 远程屏幕访问，并将画面转发至管理面板；同时可以暴露 ESXi HTML Host Client 管理界面，供攻击者远程访问。

在内网访问方面，GhostFrame 集成了名为 gfsox 的 SOCKS5 代理工具，攻击者可以通过 ESXi 主机转发网络流量，访问无法直接从互联网连接的内部系统。

三、无需进入 Windows 虚拟机即可窃取凭证

GhostFrame 的凭证窃取功能主要涉及两个组件：sdkmon 和 VMkatz。

其中，sdkmon 会修改 ESXi 服务配置，用于捕获后续登录 ESXi 主机时使用的用户名和密码。

VMkatz 则是一款开源工具，能够从虚拟机内存快照、虚拟磁盘镜像中提取凭证信息，也可以扫描数据存储中的全部虚拟机。

其可提取的数据包括：

• NTLM 哈希

• WDigest 凭证

• Kerberos 票据

• SAM 数据库凭证

• LSA 安全信息

• NTDS.dit 活动目录数据库文件

与传统需要在目标操作系统内部运行窃密程序的方式不同，VMkatz 可以直接从虚拟机对应的内存快照或磁盘数据中提取认证信息。因此，即使 Windows 虚拟机内部没有运行相关恶意程序，攻击者仍可能通过控制 ESXi 主机获取其中的凭证。

四、与 Settra 勒索软件攻击活动的关联

Insikt Group 在调查中发现，TAG-218 于 2026 年 8 月下旬至 10 月期间，曾针对美国和欧洲的 VPN 设备开展攻击，涉及 SonicWall、Palo Alto Networks 和 Fortinet 等产品。

TAG-218 攻击组织基础设施及其与 GhostFrame、MeshCentral 和 Settra 勒索软件攻击活动之间的关联（来源：Recorded Future）

其中四个受影响目标随后出现在 Settra 勒索软件的数据泄露网站上。研究人员还发现，相关攻击服务器与 GhostFrame 的两个 C2 服务器以及用于维持远程访问的 MeshCentral 服务器存在通信关系。

此外，研究人员将相关攻击活动与 Palo Alto Networks GlobalProtect 的 CVE-2026-0257 漏洞利用情况联系起来。在一起攻击事件中，攻击者通过 VPN 进入目标网络后，进一步控制虚拟化环境，并从虚拟磁盘中提取域控制器凭证。

五、安全防护建议

针对 GhostFrame 暴露的攻击行为，Insikt Group 建议重点加强 ESXi 主机的访问控制和安全监测：

1. 限制管理访问：仅允许可信系统访问 ESXi 管理接口，严格控制 Root 权限。

2. 监控异常行为：排查非预期的 Root 登录，以及 ESXi 安全配置被修改的情况。

3. 检查关键文件：关注 /etc/rc.local.d/local.sh 是否被异常修改，以及 /opt 目录下是否出现未经授权的新文件。

4. 监控网络连接：排查 ESXi 主机是否存在短时间内向同一目标地址的多个端口发起连接的行为。

5. 及时修复漏洞：对 VPN 设备进行安全更新，并排查此前是否存在异常访问活动。

Insikt Group 表示，目前尚不清楚 GhostFrame 是否仅由与 Settra 有关的攻击者使用，也无法确定其具体传播范围。研究团队认为，其他以经济利益为目的的攻击者也可能使用 GhostFrame 或类似的 ESXi 攻击工具。

资讯来源：cybersecuritynews

[招生]科锐逆向工程师培训(2026年11月13日实地，远程教学同时开班, 第57期)