安全厂商 Recorded Future 的 Insikt Group 最近曝光一款叫 GhostFrame 的新型后渗透框架，它专门瞄准 VMware ESXi 虚拟化层，攻击者拿到 ESXi 的 root 权限部署它之后，不用在里面任何一台 Windows 虚拟机里投放程序，依靠底层 hypervisor 直接读取虚拟机快照、虚拟磁盘、内存数据，把 NTLM 哈希、Kerberos 票据、域账号信息这类 Windows 凭证捞出来，这个威胁和 Settra 勒索软件背后的 TAG‑218 威胁团伙挂钩，对大量依赖虚拟化的企业风险很高，普通虚拟机内部杀毒软件很难察觉到它的动作。
- GhostFrame 基础信息
- 归属团伙：TAG‑218，和 Settra 勒索软件活动重叠
- 前置条件：必须先拿到 ESXi 主机 root 权限，本身不是漏洞利用工具，不能自行入侵
- 植入程序：植入体命名 vmhostd‑core，伪装成合法进程
- 核心组件清单
- Builder：用来生成 ESXi 植入程序
- Sessions：Web 控制后台，统一管控所有被控主机
- sdkmon：捕获 ESXi 自身登录账号密码
- VMkatz：从虚拟磁盘、快照提取 Windows 凭证
- gfsox：SOCKS5 隧道，用来横向渗透内网
- C2 通信：同时尝试向 53、2222、3389、4444、8443、9443 六个端口建立连接，连通第一个就使用该通道
- 整套攻击执行流程
- 它最危险的几项能力
- 跨虚拟机批量窃取凭证：只控制一台 ESXi，就能收割这台主机上全部 Windows 虚拟机凭证，不需要逐个入侵虚拟机。
- 底层隐身：运行在虚拟化层，虚拟机内部安全软件看不到这个恶意程序。
- 持久驻留：修改本地开机脚本，每次重启自动加载，还会定时反复关闭防火墙。
- 内网穿透通道：内置代理隧道，方便攻击者访问原本隔离的内网业务系统。
- 内存加载载荷：支持内存执行代码，减少落盘留下的痕迹，增加取证难度。
- 企业自查与防护清单
- 检查路径 /opt/vmhostd-core，发现该文件高度可疑。
- 核查 /etc/rc.local.d/local.sh，看是否被篡改、新增异常自启项。
- 监控 ESXi 向外同时向六个指定端口发起连接的异常流量。
- 收紧 ESXi 管理权限，禁止普通账号获取 root，加固 VPN 等入口设备。
- 限制虚拟机快照、虚拟磁盘的访问权限，定期审计快照操作记录。
- 给虚拟化环境单独部署针对 hypervisor 的检测工具，不能只靠虚拟机内部杀毒。
攻击者一般先通过被攻破的 VPN、边界设备拿到权限，拿下 ESXi 的 root；接着上传 vmhostd‑core，修改开机脚本，关闭主机防火墙，放开未签名代码限制；之后通过网页控制面板，枚举所有虚拟机，开关机、新建或者删除快照，拉起远程画面；最后调用 VMkatz，直接读取虚拟机存储文件提取 Windows 凭证，拿到凭证之后继续在内网横向移动，投放勒索软件。
一旦被 GhostFrame 成功部署，整个虚拟化集群就等于交到攻击者手里，后续很容易爆发大范围勒索、数据泄露，企业要优先加固虚拟化管理入口，做好权限隔离。
【相关 FAQ】
问题 1：这款 GhostFrame 恶意软件是不是只要打开某个漏洞就能自动入侵 VMware ESXi？
回答 1：不是，GhostFrame 恶意软件本身没有入侵漏洞，攻击者必须先拿到 VMware ESXi 的 root 权限，才可以部署这套框架。
问题 2：GhostFrame 恶意软件是怎么做到不用进虚拟机就能拿到 Windows 凭证？
回答 2：GhostFrame 恶意软件依靠底层的 VMkatz 组件，直接读取虚拟机快照、虚拟磁盘以及内存数据，不需要在 Windows 虚拟机内部运行任何程序，以此提取 Windows 凭证。
问题 3：GhostFrame 恶意软件除了窃取 Windows 凭证之外，还能对 VMware ESXi 做什么？
回答 3：GhostFrame 恶意软件可以接管 VMware ESXi，枚举、启停虚拟机，管理快照，开启远程画面，搭建内网隧道，维持持久访问，辅助攻击者横向渗透。
问题 4：哪个威胁团伙在使用这款 GhostFrame 恶意软件？
回答 4：安全研究人员追踪发现，使用 GhostFrame 恶意软件的是 TAG‑218，这个团伙的活动和 Settra 勒索软件存在关联。
问题 5：如果服务器中招 GhostFrame 恶意软件，虚拟机里面的杀毒软件能发现它吗？
回答 5：很难，GhostFrame 恶意软件运行在 VMware ESXi 虚拟化底层，虚拟机内部的安全工具看不见这个植入程序，常规虚拟机杀毒很难检出。
【参考资料】
[2026-11-13]（
【安全】新型 GhostFrame 恶意软件可劫持 VMware ESXi 虚拟机，无需在虚拟机内运行程序即可窃取 Windows 凭证）绿盟威胁情报中心
[2026-11-12]（Hackers’ New Trick: GhostFrame Malware Turns VMware ESXi Into a Master Control Panel）Modoeye Secure Signal
[2026-11-11]（New GhostFrame Malware Lets Hackers Hijack VMware ESXi VMs and Steal Windows Credentials）Cyber Security News
[2026-11-10]（GhostFrame: A new ESXi Implant Linked to Settra Ransomware）Cybernoz
【免责声明】
本文内容全部来自公开安全情报，GhostFrame 恶意软件的检测特征、攻击手段还可能持续迭代；虚拟化环境防护方案、应急处置流程请以 VMware 官方安全公告和国内权威威胁情报平台最新指引为准，本文不构成安全设备采购、应急处置的唯一依据。