Détecter les machines virtuelles cachées sur VMware ESXi: VirtualGHOST expliqué
Introduction
VirtualGHOST est un nouvel outil développé par CrowdStrike pour détecter les machines virtuelles fantômes sur les hôtes VMware ESXi. Ces machines virtuelles sont généralement créées par des attaquants pour se cacher et mener des activités malveillantes. Découvrons ensemble comment cet outil fonctionne et comment il peut être utilisé pour renforcer la sécurité de votre infrastructure.
Détection des machines virtuelles fantômes
Les équipes de CrowdStrike ont identifié à plusieurs reprises des machines virtuelles suspectes sur des infrastructures VMware. Ces machines virtuelles, cachées et en cours d’exécution, ne sont pas visibles dans l’interface d’administration classique de VMware, ce qui les rend difficiles à repérer.
L’outil VirtualGHOST repose sur un script PowerShell nommé “Detect-VirtualGHOST.ps1” qui compare la liste des machines virtuelles enregistrées dans l’inventaire avec celles qui sont effectivement allumées. Cela permet de repérer les machines en cours d’exécution mais non enregistrées, facilitant ainsi la détection des potentielles menaces.
Utilisation de VirtualGHOST
VirtualGHOST est disponible sur GitHub et peut être utilisé depuis un poste de travail ou un serveur distant. Il nécessite la présence du module VMware PowerCLI pour fonctionner, ce qui permet d’exécuter des commandes “esxcli” pour vérifier l’état des machines virtuelles. Le script Detect-VirtualGHOST.ps1 requiert des informations telles que le nom DNS du serveur à analyser ou son adresse IP, ainsi que des identifiants pour s’authentifier sur l’API de management VMware.
Exemple de détection
Voici un exemple de sortie du script mettant en évidence la présence d’une machine virtuelle cachée sur un serveur VMware. VirtualGHOST a été testé par CrowdStrike sur différentes versions de VMware vCenter et ESXi pour garantir son efficacité et sa fiabilité.
Conclusion
Face aux nombreuses menaces pesant sur les hyperviseurs VMware ESXi, l’utilisation de VirtualGHOST peut s’avérer être une mesure préventive efficace pour renforcer la sécurité de votre infrastructure. En analysant régulièrement vos environnements virtuels avec cet outil, vous pourrez détecter plus rapidement les machines virtuelles suspectes et agir en conséquence pour éviter toute intrusion.
Source : www.it-connect.fr
