MITRE ATT&CK - Técnica

T1675: ESXi Administration Command

ESXi Administration Command (T1675) é uma técnica catalogada no MITRE ATT&CK Enterprise usada como referência para mapear comportamento adversário em auditorias de segurança.

Técnica T1675 Enterprise ATT&CK

Contexto para AppSec

Em uma auditoria de AppSec, ESXi Administration Command deve ser usada para revisar caminhos em que código, configuração, dependências ou infraestrutura podem viabilizar o comportamento descrito pela MITRE. No ATT&CK, ela aparece em Execution. As plataformas mapeadas pela MITRE incluem ESXi. No Vigly, esse contexto ajuda a conectar evidências do repositório com priorização e remediação.

Tática/fase Execution
Plataformas MITRE ESXi

Descrição oficial original do MITRE ATT&CK

Adversaries may abuse ESXi administration services to execute commands on guest machines hosted within an ESXi virtual environment. Persistent background services on ESXi-hosted VMs, such as the VMware Tools Daemon Service, allow for remote management from the ESXi server. The tools daemon service runs as vmtoolsd.exe on Windows guest operating systems, vmware-tools-daemon on macOS, and vmtoolsd on Linux. Adversaries may leverage a variety of tools to execute commands on ESXi-hosted VMs – for example, by using the vSphere Web Services SDK to programmatically execute commands and scripts via APIs such as StartProgramInGuest, ListProcessesInGuest, ListFileInGuest, and InitiateFileTransferFromGuest. This may enable follow-on behaviors on the guest VMs, such as File and Directory Discovery, Data from Local System, or OS Credential Dumping.

Ver fonte oficial no MITRE ATT&CK

Como o Vigly audita a técnica ESXi Administration Command automaticamente na sua pipeline

O Vigly cruza sinais de SAST, modelagem de ameaças, regras de negócio e evidências do repositório para priorizar riscos reais antes que eles cheguem à produção.

Conhecer a plataforma