Un nuevo kit de herramientas de hacking llamado GhostFrame ofrece a los criminales un panel de control único para tomar el control de servidores VMware ESXi y de las máquinas virtuales que se ejecutan en ellos.

Investigadores del Insikt Group de Recorded Future encontraron este framework mientras rastreaban a un grupo llamado TAG-218, cuya actividad coincide con el ransomware Settra. La herramienta también puede extraer contraseñas de Windows de las máquinas alojadas sin necesidad de ejecutar ningún programa dentro de ellas.

El punto clave es dónde opera GhostFrame. ESXi es un hipervisor, la capa que ejecuta muchas máquinas virtuales en un solo servidor físico. Si un criminal controla esa capa, puede llegar a cada sistema que esté en ella.

Las herramientas de seguridad dentro de cada máquina virtual a menudo no pueden ver lo que sucede debajo de ellas. El informe de Insikt Group indica que el framework no explota un error para entrar. El operador ya debe tener acceso de root al host ESXi.

GhostFrame permanece en el servidor

El framework tiene un panel web con dos secciones: "Sessions" y "Builder". El constructor crea un implante de ESXi llamado vmhostd-core. Una vez que se ejecuta, se copia a sí mismo en /opt/vmhostd-core y edita el script de arranque /etc/rc.local.d/local.sh para que se inicie de nuevo tras cada reinicio.

El script también desactiva el firewall de ESXi y la configuración execInstalledOnly, que normalmente bloquea los programas no firmados. Repite esto aproximadamente cada cinco segundos, por lo que si un administrador reactiva las protecciones, las pierde casi al instante.

El implante llama a /sbin/auto-backup.sh para guardar sus cambios entre reinicios. También se renombra como vmhostd, que se parece al servicio real vmware-hostd de VMware, para pasar desapercibido.

El implante intenta utilizar seis puertos de red al mismo tiempo para alcanzar su servidor de comando: 53, 2222, 3389, 4444, 8443 y 9443. Mantiene la primera conexión que funciona y descarta el resto. Si nada se conecta en treinta segundos, espera entre cinco y doce segundos y lo intenta de nuevo. Este patrón puede manifestarse como seis solicitudes de conexión casi simultáneas desde un host ESXi a una sola dirección, lo que te da a ti, como defensor, una pista útil para rastrearlo.

Después de conectarse, el implante carga el código directamente en la memoria y lo ejecuta, por lo que no se escribe nada en el disco. Si no puede obtener memoria para ello, recurre a una shell inversa simple de /bin/sh.

GhostFrame permite que un operador liste las máquinas virtuales, cambie su estado de encendido y cree o elimine instantáneas (snapshots). Puede activar el acceso remoto a pantalla VNC y enviar la vista de la pantalla a través de sus propios servidores al panel. También puede exponer el ESXi HTML Host Client, que es el sitio web de gestión del hipervisor. Una herramienta de proxy SOCKS5 llamada gfsox permite a los operadores enviar tráfico a través del host para alcanzar sistemas internos que están ocultos de internet.

Las funciones de robo de credenciales son las más importantes. Un componente llamado sdkmon cambia la configuración del servicio ESXi y captura los nombres de usuario y contraseñas de los inicios de sesión posteriores en ESXi.

GhostFrame también incluye VMkatz, una herramienta de código abierto. Esta extrae secretos de instantáneas de memoria de la VM, imágenes de disco virtual o un escaneo de cada VM en un datastore. Los datos que puede recuperar incluyen hashes NTLM, credenciales WDigest, tickets de Kerberos, secretos SAM y LSA, y datos NTDS.dit. En resumen, un criminal puede robar contraseñas de Windows desde el exterior, sin tener instalado ningún malware en el sistema invitado.

Vínculo con el ransomware Settra e intrusiones por VPN

Insikt Group observó que los servidores de TAG-218 atacaron dispositivos VPN en EE. UU. y Europa desde finales de agosto hasta octubre de 2026. Los objetivos fueron principalmente productos de SonicWall, Palo Alto Networks y Fortinet.

Cuatro de esas víctimas aparecieron más tarde en el sitio de filtraciones de Settra. Los mismos servidores se conectaron a dos servidores de comando de GhostFrame y a un servidor MeshCentral utilizado para mantener el acceso. El 12 de octubre de 2026, se vio un dispositivo VPN de Fortinet contactando tanto a GhostFrame como a MeshCentral.

Huntress ya había vinculado MeshCentral con Settra. Su informe muestra al grupo instalando MeshAgent para obtener acceso duradero, utilizando un controlador vulnerable, borrando los registros de Windows y bloqueando la recuperación.

El momento coincide con el reciente abuso de CVE-2026-0257, un fallo en Palo Alto Networks GlobalProtect que permite a alguien abrir una sesión VPN sin credenciales válidas ni MFA. La guía actualizada de Unit 42 afirma que, en un caso, los intrusos pasaron de la VPN a la capa de virtualización.

Desactivaron execInstalledOnly y utilizaron una herramienta personalizada para extraer credenciales del controlador de dominio directamente desde un disco virtual. Esto evita el software de seguridad dentro del sistema invitado. Los hallazgos de GhostFrame encajan en el mismo patrón. Las correcciones para el fallo de Palo Alto están disponibles desde mayo de 2026.

Empieza por restringir quién puede acceder a ESXi. Permite el acceso de gestión solo desde sistemas confiables y analiza cualquier inicio de sesión de root o cambio de configuración inesperado. Vigila las ediciones en /etc/rc.local.d/local.sh, los archivos nuevos bajo /opt y los cambios repetidos en el firewall y en execInstalledOnly.

Revisa los registros de red en busca de la ráfaga de seis intentos de conexión a una sola dirección. Parchea los dispositivos VPN rápidamente y busca más ideas de endurecimiento de seguridad sobre grupos de ransomware que atacan VMware ESXi.

Insikt Group no sabe si GhostFrame se limita a Settra o cómo se distribuye. Aun así, afirma que es muy probable que otros criminales motivados por el dinero utilicen GhostFrame o herramientas similares para ESXi. Trata tus hipervisores como sistemas de alto valor y dales la misma vigilancia estrecha que das a tus controladores de dominio.