ابزار جدید مهاجمان را از لایه مجازی‌سازی به اطلاعات ورود ویندوز و شبکه داخلی سازمان می‌رساند
بدافزار GhostFrame کنترل ماشین‌های مجازی VMware را به مهاجمان می‌دهد؛ تهدیدی فراتر از یک سرور آلوده
بدافزار GhostFrame با نفوذ به میزبان VMware ESXi امکان کنترل ماشین‌های مجازی، سرقت اطلاعات ورود ویندوز و دسترسی به شبکه داخلی سازمان را فراهم می‌کند.
پژوهشگران امنیت سایبری از شناسایی ابزار مخربی به نام GhostFrame خبر داده‌اند که با هدف قرار دادن میزبان‌های VMware ESXi، امکان کنترل ماشین‌های مجازی، سرقت اطلاعات احراز هویت و نفوذ عمیق‌تر به شبکه داخلی سازمان‌ها را برای مهاجمان فراهم می‌کند. ویژگی مهم این ابزار آن است که مهاجمان پس از دستیابی به دسترسی ریشه (Root) در میزبان مجازی‌سازی، می‌توانند چندین ماشین مجازی را از یک نقطه کنترل کنند؛ بدون اینکه الزاماً به نصب بدافزار جداگانه روی هر ماشین نیاز داشته باشند.
GhostFrame چگونه به زیرساخت VMware نفوذ می‌کند؟
براساس گزارش جدید گروه Insikt شرکت Recorded Future در ۱۰ نوامبر ۲۰۲۶، GhostFrame یک چارچوب ناشناخته پیشین برای اجرای عملیات پس از نفوذ است که روی میزبان‌های VMware ESXi آلوده فعالیت می‌کند. این ابزار به مهاجمان اجازه می‌دهد از طریق یک پنل مدیریتی، میزبان‌های در اختیار خود را کنترل کنند و به قابلیت‌هایی مانند اجرای فرمان، مدیریت ماشین‌های مجازی و جمع‌آوری اطلاعات حساس دسترسی داشته باشند.
نکته مهم این است که GhostFrame به‌خودی‌خود از یک آسیب‌پذیری برای ورود اولیه به ESXi استفاده نمی‌کند. مهاجم باید پیش از اجرای این ابزار، دسترسی سطح Root به میزبان را به دست آورده باشد. بنابراین، GhostFrame بیشتر ابزاری برای گسترش دسترسی و تثبیت حضور مهاجم پس از نفوذ اولیه است تا یک بدافزار برای آلوده‌سازی مستقیم سیستم‌ها.
این ابزار بخشی از فعالیت گروهی با شناسه TAG-218 شناسایی شده که عملیات آن با فعالیت‌های باج‌افزاری Settra هم‌پوشانی دارد.
یک میزبان آلوده چگونه چندین ماشین مجازی را در معرض خطر قرار می‌دهد؟
در زیرساخت‌های مجازی‌سازی، چندین سیستم‌عامل و سرویس سازمانی ممکن است روی یک میزبان فیزیکی اجرا شوند. VMware ESXi وظیفه مدیریت این ماشین‌های مجازی را برعهده دارد و به همین دلیل، دسترسی سطح بالا به میزبان می‌تواند دامنه نفوذ مهاجم را از یک سیستم فراتر ببرد.
GhostFrame از همین موقعیت استفاده می‌کند. این ابزار می‌تواند ماشین‌های مجازی ثبت‌شده روی میزبان را شناسایی کند، وضعیت روشن یا خاموش بودن آن‌ها را نمایش دهد و حتی وضعیت فعالیتشان را تغییر دهد. همچنین امکان ایجاد یا حذف Snapshot و فعال‌سازی دسترسی گرافیکی VNC برای ماشین‌های مجازی را در اختیار اپراتور قرار می‌دهد.
در نتیجه، مهاجم برای دسترسی به اطلاعات یا تعامل با سیستم‌های مجازی لزوماً به نصب ابزار مخرب جداگانه روی تک‌تک آن‌ها نیاز ندارد و می‌تواند از سطح زیرساخت مجازی‌سازی عملیات خود را پیش ببرد.
سرقت گذرواژه‌های ویندوز از حافظه و دیسک ماشین‌های مجازی
یکی از قابلیت‌های مهم GhostFrame، دسترسی به اطلاعات احراز هویت ذخیره‌شده در ماشین‌های مجازی ویندوزی است. این چارچوب از ابزار VMkatz برای استخراج اطلاعات حساس استفاده می‌کند و می‌تواند داده‌های مرتبط با گذرواژه‌ها و اعتبارنامه‌های کاربران را از حافظه، فایل‌های دیسک مجازی و مخازن اطلاعاتی ماشین‌ها بررسی کند.
اطلاعات قابل استخراج می‌تواند شامل هش‌های NTLM، اعتبارنامه‌های WDigest، بلیت‌های Kerberos و داده‌های حساس مرتبط با SAM و LSA باشد. همچنین امکان بررسی داده‌های مربوط به پایگاه اطلاعاتی Active Directory موسوم به NTDS.dit وجود دارد.
اهمیت این قابلیت در آن است که مهاجم می‌تواند بدون اجرای ابزار سرقت اطلاعات به‌صورت مستقل داخل هر ماشین مجازی، از طریق دسترسی به زیرساخت میزبان به سراغ اطلاعات احراز هویت سیستم‌های مهم سازمان برود.
GhostFrame همچنین مؤلفه‌ای به نام gfsox دارد که با ایجاد پراکسی SOCKS5، امکان عبور ترافیک از میزبان آلوده و دسترسی به بخش‌های داخلی شبکه را فراهم می‌کند. این قابلیت می‌تواند به مهاجم برای حرکت جانبی در شبکه و شناسایی سرویس‌هایی که مستقیماً از اینترنت در دسترس نیستند کمک کند.
GhostFrame چگونه دسترسی مهاجم را حفظ می‌کند؟
این ابزار برای ماندگاری در زیرساخت قربانی، خود را در مسیر /opt/vmhostd-core قرار می‌دهد و فایل راه‌اندازی ESXi را تغییر می‌دهد تا پس از راه‌اندازی مجدد میزبان نیز اجرا شود.
یکی دیگر از رفتارهای مهم آن، تلاش مداوم برای غیرفعال کردن فایروال ESXi و قابلیت امنیتی execInstalledOnly است؛ قابلیتی که اجرای فایل‌های باینری تأییدنشده را محدود می‌کند. براساس تحلیل Recorded Future، اسکریپت مخرب این تنظیمات را تقریباً هر پنج ثانیه دوباره تغییر می‌دهد تا تلاش مدیر سیستم برای فعال‌سازی مجدد کنترل‌های امنیتی را خنثی کند.
GhostFrame همچنین نام فرایند خود را به vmhostd تغییر می‌دهد تا به سرویس قانونی VMware با نام vmware-hostd شباهت پیدا کند و شناسایی آن دشوارتر شود.
سازمان‌ها چگونه از زیرساخت VMware محافظت کنند؟
از آنجا که GhostFrame برای اجرا به دسترسی Root نیاز دارد، محافظت از حساب‌های مدیریتی میزبان‌های ESXi یکی از مهم‌ترین اقدامات پیشگیرانه است. سازمان‌ها باید دسترسی مدیریتی به این میزبان‌ها را به سامانه‌های مورداعتماد محدود کنند و از دسترسی غیرضروری به رابط‌های مدیریتی جلوگیری کنند.
همچنین بررسی تغییرات غیرمنتظره در فایل‌های راه‌اندازی ESXi، فرایندهای ناشناس با نام‌های مشابه سرویس‌های قانونی VMware و تلاش برای غیرفعال‌سازی فایروال یا محدودیت اجرای فایل‌ها اهمیت دارد. پایش ارتباطات خروجی میزبان‌های ESXi نیز می‌تواند به شناسایی ارتباطات مشکوک با سرورهای فرماندهی و کنترل کمک کند.
در صورت مشاهده نشانه‌های آلودگی، صرفاً فعال کردن دوباره فایروال یا تنظیمات امنیتی کافی نیست؛ زیرا سازوکار ماندگاری GhostFrame می‌تواند این کنترل‌ها را مجدداً غیرفعال کند. سازمان باید منشأ تغییرات و مؤلفه ماندگارشده را شناسایی و حذف کند و در ادامه، اعتبارنامه‌هایی را که احتمالاً در معرض دسترسی مهاجم قرار گرفته‌اند تغییر دهد.
منابع
