GhostFrameは、2026年11月10日にRecorded Future社の脅威インテリジェンス部門「Insikt Group」によって公表された、VMware ESXiハイパーバイザー上で動作する最新のポストエクスプロイト（侵入後活動）およびC2（コマンド＆コントロール）フレームワークです。
本ツール自体は脆弱性を悪用して初期侵入を行うエクスプロイトではなく、すでにESXiホストのroot権限を奪取した攻撃者が展開するものです。
2026年8月下旬から10月にかけて、ランサムウェア「Settra」と関連する脅威グループ「TAG-218」が、SonicWall、Palo Alto Networks（CVE-2026-0257など）、Fortinet製のVPN機器を標的とした攻撃の延長線上で使用していたことが確認されています。
単一のWeb管理パネルからハイパーバイザーと配下の全仮想マシン（VM）を一元的に掌握し、認証情報の窃取や内部ネットワークへの横展開を可能にします。
特徴的な部分をみてみましょう。
- 永続化の確立とセキュリティ機能の執拗な無効化
ビルダーによって生成されたELF形式のインプラントは、自身を /opt/vmhostd-core にコピーし、起動スクリプト /etc/rc.local.d/local.sh を改変したうえで /sbin/auto-backup.sh を実行し、再起動後も維持される永続化を図ります。
改変されたスクリプトは、約5秒おきにESXiのファイアウォールおよび未署名バイナリの実行を制限するセキュリティ制御（execInstalledOnly）を無効化するコマンドを実行するため、管理者が手動で設定を元に戻しても即座に再無効化されます。
さらに、プロセス名を正規の vmware-hostd に酷似した vmhostd に偽装し、検知を回避します。 - 6ポート同時接続による特異なC2通信とメモリ内実行
C2サーバとの通信確立にあたり、単一ポートではなく TCPポート 53, 2222, 3389, 4444, 8443, 9443 の6つに対して同時に接続（TCP SYN）を試行し、最初に成功したセッションのみを維持して残りを切断します（30秒間失敗した場合は5〜12秒のランダムな待機後に再試行）。
接続後はインメモリ・シェルコードローダーとして機能し、C2から受け取ったマシンコードをディスクに書き込まず実行可能メモリ領域へ展開・実行します（メモリ確保に失敗した場合は /bin/sh のリバースシェルへフォールバックします）。 - ハイパーバイザー層からの仮想マシン（VM）一元操作
Webベースのオペレーターパネル（「Sessions」「Builder」で構成）を通じ、ホスト上で稼働する全VMの一覧取得、電源状態の操作、スナップショットの作成・削除が可能です。
さらに、個別のVMに対してVNCを有効化してグラフィカルセッションをC2経由で中継したり、攻撃者が制御するトンネル経由でESXiのHTML Host Clientを公開し、GhostFrameの管理パネルからハイパーバイザーの管理画面を直接操作する機能を備えています。 - ゲストOSに侵入しない高度な認証情報窃取（VMkatz / sdkmon）
個々のVM内部にマルウェアを展開することなく、ハイパーバイザー側からWindows環境等の認証情報を一括で抜き取ることができます。- VMkatzの統合
オープンソースの認証情報抽出ツール「VMkatz」を組み込んでおり、VMのメモリスナップショットや仮想ディスクイメージ（またはデータストア上の全VMの再帰スキャン）から、NTLMハッシュ、WDigest認証情報、Kerberosチケット、SAM/LSAシークレット、Active Directoryのデータベース（NTDS.dit）などを直接抽出します。 - sdkmonによるログイン傍受
ESXiのサービス設定を変更するコンポーネント「sdkmon」により、その後のESXiへの正規ログイン通信からユーザ名とパスワードを傍受します。
- VMkatzの統合
- SOCKS5プロキシ（gfsox）によるネットワークピボット
「gfsox」と呼ばれるSOCKS5プロキシコンポーネントをESXiホスト上に展開することで、侵害したハイパーバイザーを踏み台とし、外部から直接アクセスできない内部ネットワーク上の別システムやサービスへ通信をルーティングできます。
GhostFrameは、攻撃の主戦場が個別のエンドポイント（ゲストOS）から仮想化基盤（ハイパーバイザー層）へと広がりつつある（あるいは、狙いが定められている）ことを示す極めて危険な脅威です。
特に、ドメインコントローラーが仮想マシンとして稼働している場合、ゲストOS側のEDR等には一切痕跡を残さず、ハイパーバイザー側からディスクやメモリを直接読み取られることでドメイン全体の管理者権限が奪取されるリスクがあります。
推奨される対策は次の通りです。
- 境界機器と管理プレーンの隔離
初期侵入経路となるVPN機器（SonicWall、Palo Alto Networks、Fortinet等）のパッチ適用を徹底してください。
そのうえで、CVE-2026-0257のような認証バイパス脆弱性等により万が一VPN機器が突破された場合でもハイパーバイザーへ到達できないよう、ESXiの管理インターフェースをVPNプールや一般セグメントから完全に隔離し、専用の管理ネットワークまたは踏み台サーバからのみアクセス可能にしてください。 - プラットフォーム保護の強化
ESXiのロックダウンモードの有効化、不要なSSH/ESXi Shellの無効化に加え、UEFI Secure BootとTPMを活用して実行時に execInstalledOnly が無効化されないよう構成してください。 - 侵害の痕跡（IoC）と異常通信の監視
/etc/rc.local.d/local.sh の改変、/opt/vmhostd-core や vmhostd プロセスの有無、およびESXiホストから外部の単一IPアドレスに向けた6ポート同時（53, 2222, 3389, 4444, 8443, 9443）のアウトバウンド通信バーストを監視し、検知した場合は設定の修復ではなくホストの再構築とドメイン全体のパスワードリセット（krbtgtの2回リセットを含む）を実施してください。
GhostFrame: A New ESXi Implant Linked to Settra Ransomware
https://www.recordedfuture.com/blog/ghostframe-esxi-implant-settra-ransomware
| この記事をシェア |
|
|---|
