--- title: "GhostFrame toma el control de VMware ESXi para robar credenciales de todas las VM" description: "Recorded Future ha descubierto GhostFrame, un kit de post-explotación para VMware ESXi usado por un grupo ligado al ransomware Settra. Desde el hipervisor controla las VM, abre túneles y roba credenciales de Windows sin tocar cada máquina." url: https://revistacloud.com/ghostframe-malware-vmware-esxi-settra-ransomware-recorded-future/ date: 2026-11-11 modified: 2026-11-11 author: "Antonio" image: https://revistacloud.com/wp-content/uploads/2026/11/ghostframe-malware-vmware-esxi.png categories: ["Noticias", "Seguridad"] tags: ["ciberseguridad", "ESXi", "ransomware", "virtualización", "vmware"] type: post lang: es --- # GhostFrame toma el control de VMware ESXi para robar credenciales de todas las VM **El equipo de investigación Insikt Group, de Recorded Future, ha documentado GhostFrame, un kit de post-explotación desconocido hasta ahora que convierte un hipervisor VMware ESXi comprometido en un centro de mando: desde él, el atacante gestiona las máquinas virtuales, abre túneles hacia la red interna y roba credenciales de los Windows alojados sin instalar nada dentro de cada VM. Lo ha visto en manos de TAG-218, un grupo cuya actividad se solapa con la del ransomware Settra.** **Las claves de GhostFrame en 30 segundos** - GhostFrame no explota ningún fallo de ESXi: necesita que el atacante ya tenga acceso root al hipervisor. - Desde ese punto controla las VM, habilita VNC, crea túneles SOCKS5 y extrae credenciales de discos y memoria. - Su implante desactiva el cortafuegos de ESXi y el control execInstalledOnly cada cinco segundos. - Cuatro organizaciones atacadas aparecieron después en la web de filtraciones de Settra. La clave de GhostFrame es dónde opera. Un único host ESXi suele alojar decenas de máquinas virtuales con servicios críticos, y quien controla el hipervisor tiene acceso a todas ellas desde un solo punto. Insikt Group recuperó el código de la interfaz web del kit, con dos secciones: un generador del implante para ESXi y un panel de sesiones desde el que se gestionan los sistemas conectados y sus funciones de post-explotación. Según los investigadores, permite a un operador hacerse con credenciales de los Windows alojados sin desplegar malware de robo de contraseñas en cada máquina virtual. ## Persistencia disfrazada de servicio de VMware El implante, llamado vmhostd-core, se copia en `/opt/vmhostd-core` y modifica el script de arranque `/etc/rc.local.d/local.sh` para ejecutarse tras cada reinicio, apoyándose en `/sbin/auto-backup.sh` para que el cambio sobreviva. Para pasar desapercibido cambia su nombre de proceso a vmhostd, parecido al legítimo vmware-hostd. Lo más agresivo es que vuelve a desactivar el cortafuegos de ESXi y el control execInstalledOnly, que impide ejecutar binarios no firmados, aproximadamente cada cinco segundos, de modo que si un administrador los reactiva, el implante los apaga de nuevo. Para comunicarse con su servidor de control intenta conexiones TCP simultáneas a seis puertos (53, 2222, 3389, 4444, 8443 y 9443) y se queda con la primera que responde. Una vez conectado, carga en memoria el código que recibe, sin escribirlo en disco, y si no puede, abre una shell inversa convencional. Entre sus funciones están listar las VM, cambiar su estado de encendido, crear y borrar instantáneas, activar acceso VNC a cada máquina, exponer el cliente web de gestión de ESXi a través de un túnel y desplegar gfsox, un proxy SOCKS5 para moverse por la red interna. Para robar credenciales combina sdkmon, que según la interfaz intercepta usuarios y contraseñas en los inicios de sesión de ESXi, con VMkatz, una herramienta de código abierto que extrae hashes NTLM, tickets Kerberos, secretos SAM y LSA o datos de NTDS.dit a partir de instantáneas de memoria y discos virtuales. ## De la VPN al hipervisor Recorded Future no ha determinado cómo consigue GhostFrame el acceso root inicial, pero describe la cadena en la que aparece. Entre finales de agosto y octubre de 2026, servidores atribuidos a TAG-218 atacaron dispositivos VPN de SonicWall, Palo Alto Networks y Fortinet en Estados Unidos y Europa, y cuatro de las organizaciones atacadas acabaron publicadas en la web de filtraciones de Settra. Esos servidores conectaban con dos servidores de control de GhostFrame y con uno de MeshCentral, una herramienta de gestión remota ya vinculada antes a intrusiones de Settra por Huntress. El 12 de octubre, un dispositivo VPN de Fortinet de una víctima se comunicó con ambos en el mismo periodo. Los investigadores relacionan esta actividad con CVE-2026-0257, una omisión de autenticación en Palo Alto GlobalProtect, para la que el fabricante describió una técnica en la que los atacantes saltaban de la VPN a la capa de virtualización con una herramienta propia, con capacidades coherentes con las de GhostFrame. Insikt Group advierte de que no hay pruebas de que el kit sea exclusivo de Settra y considera muy probable que otros grupos con motivación económica adopten GhostFrame o herramientas similares. El comunicado de los investigadores no menciona versiones concretas de ESXi afectadas, ya que no se trata de una vulnerabilidad, ni recoge una respuesta de Broadcom. ## Cómo detectarlo y protegerse Como GhostFrame necesita acceso root previo, la primera barrera es proteger la administración de ESXi: limitar el acceso de gestión a sistemas de confianza, investigar accesos privilegiados inesperados y parchear rápido los dispositivos VPN, que siguen siendo la puerta de entrada. Recorded Future recomienda vigilar cambios en `/etc/rc.local.d/local.sh`, la presencia de `/opt/vmhostd-core` o de un proceso vmhostd, y los intentos de desactivar el cortafuegos o poner execInstalledOnly a 0, investigando el mecanismo de persistencia en lugar de limitarse a reactivar los controles. En la red, la ráfaga de seis conexiones casi simultáneas desde un host ESXi al mismo destino es una pista de comportamiento útil aunque cambien los servidores. El informe incluye además tres direcciones IP de control y un hash SHA-256 del implante como indicadores de compromiso. La lección de fondo vale para cualquier plataforma de virtualización: el hipervisor debe tratarse como un activo del mismo nivel que un controlador de dominio. Ocurre en VMware, cuyo cambio de modelo comercial bajo Broadcom ya está [poniendo a prueba la confianza de los clientes](https://revistacloud.com/broadcom-vmware-vcf-vsphere-express-confianza-clientes/), y ocurre también en las alternativas a las que migran muchas empresas, como Proxmox. Quien esté planificando ese cambio puede consultar nuestra [guía de migración a Proxmox](https://revistacloud.com/migracion-proxmox/), sin olvidar que la segmentación de la red de gestión y el control de accesos son igual de necesarios en cualquier hipervisor. ## Preguntas frecuentes ### ¿Qué es GhostFrame? Un kit de post-explotación para VMware ESXi que permite controlar las máquinas virtuales, moverse por la red interna y robar credenciales desde el hipervisor. ### ¿Explota una vulnerabilidad de ESXi? No. Necesita que el atacante ya tenga acceso root al host ESXi, que en los casos observados se relaciona con intrusiones previas en dispositivos VPN. ### ¿Quién lo usa? Recorded Future lo ha visto en manos de TAG-218, un grupo cuya actividad se solapa con el ransomware Settra, aunque no descarta que lo usen otros. ### ¿Cómo se detecta? Vigilando cambios en /etc/rc.local.d/local.sh, la presencia de /opt/vmhostd-core o un proceso vmhostd, la desactivación repetida del cortafuegos y ráfagas de conexiones a seis puertos desde el host. **Fuentes:** - [Recorded Future Insikt Group: GhostFrame, a new ESXi implant linked to Settra ransomware](https://www.recordedfuture.com/blog/ghostframe-esxi-implant-settra-ransomware) - [Cyber Security News (11/11/2026)](https://cybersecuritynews.com/ghostframe-malware-hijack-vmware-esxi/)