T1675: ESXi 管理命令

摘要

攻击者可能滥用 ESXi 管理服务来在 ESXi 虚拟环境中托管的客户机上执行命令。ESXi 托管 VM 上的持久后台服务（如 VMware Tools 守护进程服务）允许从 ESXi 服务器进行远程管理。工具守护进程服务在 Windows 客户机操作系统上以 `vmtoolsd.exe` 运行，在 macOS 上以 `vmware-tools-daemon` 运行，在 Linux 上以 `vmtoolsd` 运行。(Citation: Broadcom VMware Tools Services) 攻击者可能利用各种工具在 ESXi 托管的 VM 上执行命令——例如，通过使用 vSphere Web Services SDK 以编程方式通过 `StartProgramInGuest`、`ListProcessesInGuest`、`ListFileInGuest` 和 `InitiateFileTransferFromGuest` 等 API 执行命令和脚本。(Citation: Google Cloud Threat Intelligence VMWare ESXi Zero-Day 2023)(Citation: Broadcom Running Guest OS Operations) 这可能实现客户机 VM 上的后续行为，例如[文件和目录发现](https://attack.mitre.org/techniques/T1083)、[来自本地系统的数据](https://attack.mitre.org/techniques/T1005)或[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)。