GhostFrame劫持VMware ESXi无需进入虚拟机即窃取Windows凭证

安全研究人员近期披露新型攻击工具GhostFrame，其可劫持VMware ESXi虚拟化平台底层，在不部署任何代码至客户机（Guest OS）的前提下，静默窃取运行于其上的Windows虚拟机登录凭证。该工具利用ESXi hypervisor的特权访问能力，通过修改虚拟机配置文件或注入虚拟设备，将目标虚拟机物理内存实时导出至攻击端，并在外部解析LSASS进程中的NTLM哈希、Kerberos票据及部分明文密码。GhostFrame包含Hypervisor Hook、Credential Extractor、C2通信与GUI控制台四大模块，支持HTTPS与DNS隧道通信，具备反调试与混淆特征，核心组件为PE32+格式，适配64位ESXi环境。攻击链通常始于内网渗透，继而利用ESXi漏洞（如CVE-2021-21974）或弱口令获取root权限，部署工具后数分钟内完成内存捕获，不留常规日志痕迹。该工具已关联Settra勒索活动，暴露虚拟化安全长期盲区：企业多聚焦Guest OS防护，却忽视Hypervisor作为信任根的脆弱性。金融、医疗、政府等依赖虚拟化部署关键业务的行业风险突出，尤其在混合云与多租户场景下易引发跨租户凭证泄露。VMware建议启用Secure Boot、限制SSH访问、轮换管理员密码并部署具备hypervisor感知能力的安全产品；专家强调需实施纵深防御，包括强化ESXi基础配置、最小权限管理、内存完整性监控（如Intel SGX/AMD SEV）、日志关联分析及红蓝对抗演练。GhostFrame的扩散可能加速APT组织集成使用，其潜伏性强、短期难察觉，但潜在危害深远，警示业界必须将虚拟化管理层纳入统一安全治理范畴。