Pesquisadores de cibersegurança identificaram uma nova ferramenta maliciosa chamada GhostFrame, desenvolvida para manter o controle de servidores VMware ESXi comprometidos.
A descoberta foi realizada pelo Insikt Group, equipe de inteligência de ameaças da Recorded Future, que associou a ferramenta ao grupo de hackers identificado como TAG-218.
O GhostFrame possui um mecanismo capaz de desativar o firewall do servidor a cada cinco segundos, impedindo que medidas de proteção reativadas pelos administradores permaneçam funcionando.
O malware também desabilita um controle que restringe a execução de programas não autorizados e utiliza técnicas para continuar ativo mesmo após a reinicialização do equipamento.
Uma vez instalado, permite que invasores controlem máquinas virtuais, executem comandos remotamente e acessem informações armazenadas nos ambientes comprometidos.
Entre suas funcionalidades estão ferramentas para capturar credenciais, senhas e outros dados de autenticação de sistemas Windows hospedados nos servidores.
A investigação identificou conexões entre a infraestrutura utilizada pelo TAG-218 e operações associadas ao ransomware Settra, além de atividades envolvendo equipamentos VPN de diferentes fabricantes.
O GhostFrame não explora diretamente uma falha para obter o acesso inicial. Os criminosos precisam comprometer previamente o servidor e obter privilégios administrativos para instalar a ferramenta.
Especialistas recomendam restringir o acesso administrativo aos servidores ESXi, monitorar alterações inesperadas nas configurações de segurança e investigar processos desconhecidos.
A simples reativação do firewall pode não ser suficiente para eliminar a ameaça, já que o malware possui mecanismos para desabilitar novamente as proteções.
