Se sospecha que hackers chinos han estado utilizando el malware Brickstorm en operaciones de espionaje persistentes a largo plazo contra organizaciones estadounidenses en los sectores tecnológico y legal. Brickstorm es una puerta trasera basada en Go, documentada por Google en abril de 2024, tras intrusiones relacionadas con China que se originaron en varios dispositivos perimetrales y permanecieron sin ser detectadas en el entorno de la víctima durante más de un año, en promedio.
El malware actuaba como servidor web, herramienta de manipulación de archivos, dropper, relé SOCKS y herramienta de ejecución de comandos de shell. Según el Grupo de Inteligencia de Amenazas de Google (GTIG), los atacantes utilizaron Brickstorm para extraer datos sigilosamente de las redes de sus víctimas durante un tiempo medio de permanencia de 393 días antes de ser detectados. Los investigadores confirmaron que las organizaciones comprometidas se encontraban en los sectores legal y tecnológico, proveedores de software como servicio (SaaS) y también empresas de externalización de procesos de negocio (BPO).
Google señala que comprometer estas entidades podría ayudar a un actor de amenazas a desarrollar exploits de día cero y extender el ataque a víctimas posteriores, especialmente aquellas que no están protegidas por soluciones de detección y respuesta de endpoints (EDR). Los investigadores atribuyeron estos ataques al grupo de actividad UNC5221, conocido por explotar vulnerabilidades de día cero de Ivanti para atacar agencias gubernamentales con malware personalizado como Spawnant y Zipline.
Debido al largo tiempo de permanencia en los sistemas de las víctimas y al uso de scripts anti-forenses por parte de UNC5221 para ocultar la ruta de entrada, GTIG no pudo determinar con certeza el vector de acceso inicial, pero los investigadores creen que la explotación de vulnerabilidades de día cero en dispositivos perimetrales está involucrada.
Brickstorm se implementa en dispositivos que no admiten EDR, incluidos los endpoints de VMware vCenter/ESXi, donde establece comunicación con el comando y control (C2) mientras enmascara el intercambio como tráfico legítimo de Cloudflare, Heroku y otros.
Después de establecer una base, el atacante intentó escalar privilegios utilizando un filtro de servlet Java malicioso (Bricksteal) en vCenter para capturar credenciales, así como clonar máquinas virtuales de Windows Server para extraer secretos. Las credenciales robadas se utilizan luego para el movimiento lateral y la persistencia, lo que incluye habilitar SSH en ESXi y modificar los scripts de inicio init.d y systemd.
El principal objetivo operativo de Brickstorm es extraer correos electrónicos a través de aplicaciones empresariales de Microsoft Entra ID, utilizando su proxy SOCKS para acceder a sistemas internos y repositorios de código, manteniendo un alto nivel de sigilo.
Las observaciones de Google indican que UNC5221 tiene un fuerte enfoque en desarrolladores, administradores e individuos vinculados a los intereses económicos y de seguridad de China. Cuando la operación se completa, el malware se elimina para dificultar las investigaciones forenses. Estas se complican aún más por el hecho de que UNC5221 nunca utiliza dos veces los mismos dominios C2 o muestras de malware.
Para ayudar a los defensores, Mandiant ha publicado un script de escaneo gratuito que replica una regla YARA de Brickstorm para dispositivos Linux y BSD. Las reglas YARA para Bricksteal y Slaystyle también se incluyen en el informe. Mandiant advierte que su escáner puede no detectar todas las variantes de Brickstorm, no garantiza la detección de un compromiso al 100% de las veces, no busca mecanismos de persistencia y no advierte sobre dispositivos vulnerables.
En INGENIERÍA TELEMÁTICA SAS, contamos con soluciones integrales de seguridad que pueden proteger su organización contra amenazas avanzadas como Brickstorm. Ofrecemos servicios de firewall, EDR/XDR, SOC y soluciones de nube segura, entre otros. Si desea fortalecer su postura de seguridad, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales.
Fuente original: Ver aquí