Veille menaces / Campagne
GhostFrame : un implant ESXi qui vole des identifiants Windows dans les instantanés de machines virtuelles, lié au rançongiciel Settra
L'équipe Insikt Group de Recorded Future décrit GhostFrame, un outil de contrôle jusqu'ici inconnu qui tourne sur des hyperviseurs VMware ESXi compromis. Il permet de piloter les machines virtuelles invitées, de rebondir dans le réseau et d'extraire des identifiants des instantanés et des disques des VM, sans qu'aucun logiciel malveillant ne tourne dans les machines Windows. Insikt l'a vu utilisé par TAG-218, un groupe dont les opérations recoupent celles du rançongiciel Settra, qui a visé des boîtiers VPN aux États-Unis et en Europe de fin août à octobre 2026.
- Secteur
- Tous secteurs
- Point d'entrée
- Pas encore public
- Produit ou fournisseur
- VMware ESXi, SonicWall, Palo Alto Networks, Fortinet
- organisations visées ensuite affichées sur le site de fuite de Settra[1]
- 4
- Comment c'est arrivé
- GhostFrame n'exploite lui-même aucune faille : les opérateurs doivent d'abord avoir un accès root à l'hôte ESXi. Il s'installe ensuite comme un faux service vmhostd, maintient désactivés le pare-feu ESXi et execInstalledOnly, et offre le contrôle des VM, un rebond SOCKS5, un intercepteur des connexions ESXi et VMkatz pour extraire des secrets des instantanés mémoire et des images disque des VM. La façon dont les attaquants ont obtenu le root dans chaque cas n'est pas publique ; Insikt relie l'activité au ciblage de boîtiers VPN SonicWall, Palo Alto Networks et Fortinet.[1][2] Vérifié le 11 nov. 2026
- Ce qui a été volé
- Des identifiants tirés des instantanés et des disques des machines virtuelles, dont des empreintes NTLM, des tickets Kerberos, des secrets SAM et LSA et des données NTDS.dit, ainsi que des connexions ESXi capturées par le composant sdkmon, selon l'analyse de l'outil. Ce qui a été pris chez des victimes précises n'est pas public.[1][2] Vérifié le 11 nov. 2026
- Qui est touché
- Des organisations dont les boîtiers VPN aux États-Unis et en Europe ont été visés par TAG-218 entre fin août et octobre 2026. Quatre des organisations visées sont ensuite apparues sur le site de fuite de Settra ; aucun total n'est public.[1] Vérifié le 11 nov. 2026
- Acteur
- Non attribué. Utilisé par TAG-218, un groupe dont les opérations recoupent celles du rançongiciel Settra, selon Recorded Future, qui précise que rien ne montre que l'outil soit réservé à Settra.
Chronologie
- Le boîtier VPN Fortinet d'une victime est vu en communication avec des serveurs GhostFrame et MeshCentral, selon Recorded Future. De fin août à octobre 2026, des serveurs de TAG-218 ont visé des boîtiers VPN aux États-Unis et en Europe, surtout des équipements SonicWall, Palo Alto Networks et Fortinet. [1]
- L'équipe Insikt Group de Recorded Future publie son analyse de GhostFrame, avec des indicateurs et des conseils de détection : surveiller les modifications de /etc/rc.local.d/local.sh, un processus vmhostd et les tentatives de désactiver le pare-feu ESXi ou execInstalledOnly. [1]