Hackers suspeitos chineses usaram o malware Brickstorm em operações de espionagem de persistência de longo prazo contra organizações americanas nos setores de tecnologia e jurídico. O Brickstorm é um backdoor baseado em Go documentado pelo Google em abril de 2024 após intrusões relacionadas à China que surgiram de vários dispositivos de borda e permaneceram não detectadas no ambiente da vítima por mais de um ano, em média.
O malware serviu como servidor web, ferramenta de manipulação de arquivos, dropper, relay SOCKS e ferramenta de execução de comandos shell. De acordo com o Google Threat Intelligence Group (GTIG), os atacantes usaram o Brickstorm para drenar silenciosamente dados das redes de suas vítimas por um tempo médio de permanência de 393 dias antes de serem detectados.
Esta é uma operação de espionagem notavelmente sofisticada que demonstra o nível de paciência e planejamento que os atacantes modernos estão dispostos a investir. O fato de que conseguiram manter acesso por mais de um ano sem detecção é particularmente preocupante e destaca as vulnerabilidades em sistemas de segurança que muitas organizações consideram adequados.
O Alvo Estratégico das Organizações
Os pesquisadores confirmaram organizações comprometidas nos setores jurídico e de tecnologia, provedores de software como serviço (SaaS) e também Terceirizadores de Processos de Negócios (BPOs). O Google observa que comprometer tais entidades pode ajudar um ator de ameaça a desenvolver exploits de zero-day e estender o ataque a vítimas downstream, especialmente aquelas não protegidas por soluções de detecção e resposta de endpoint (EDR).
Esta escolha estratégica de alvos é particularmente inteligente porque organizações jurídicas e de tecnologia frequentemente têm acesso a informações sensíveis e sistemas críticos. Ao comprometer essas organizações, os atacantes podem obter acesso a dados valiosos e também usar essas organizações como pontos de lançamento para ataques adicionais.
Os pesquisadores atribuíram esses ataques ao cluster de atividade UNC5221, notório por explorar zero-days do Ivanti para atacar agências governamentais com malware personalizado como Spawnant e Zipline. Esta conexão sugere que os atacantes têm recursos significativos e acesso a exploits de alta qualidade.
A Sofisticação Técnica do Ataque
Devido ao longo tempo de permanência nos sistemas das vítimas e ao uso de scripts anti-forenses do UNC5221 para obscurecer o caminho de entrada, o GTIG não pôde determinar com confiança o vetor de acesso inicial, mas os pesquisadores acreditam que a exploração de zero-days em dispositivos de borda está envolvida.
O Brickstorm é implantado em aparelhos que não suportam EDR, incluindo endpoints VMware vCenter/ESXi, onde estabelece comunicação com o comando e controle (C2) enquanto mascara a troca como tráfego legítimo do Cloudflare, Heroku e outros.
Após estabelecer uma base, o atacante tentou escalar privilégios usando um Java Servlet Filter malicioso (Bricksteal) no vCenter para capturar credenciais, bem como clonar VMs do Windows Server para extrair segredos. As credenciais roubadas são então usadas para movimento lateral e persistência, o que inclui habilitar SSH no ESXi e modificar scripts de inicialização init.d e systemd.
O Objetivo Operacional Principal
O objetivo operacional principal do Brickstorm é exfiltrar emails via Microsoft Entra ID Enterprise Apps, utilizando seu proxy SOCKS para fazer túnel em sistemas internos e repositórios de código, mantendo um alto nível de furtividade. As observações do Google indicam que o UNC5221 tem um forte foco em desenvolvedores, administradores e indivíduos ligados aos interesses econômicos e de segurança da China.
Quando a operação é concluída, o malware é removido para dificultar investigações forenses. Essas são ainda mais complicadas pelo fato de que o UNC5221 nunca usa duas vezes os mesmos domínios C2 ou amostras de malware. Esta abordagem de “usar e descartar” torna extremamente difícil rastrear e atribuir ataques a este grupo específico.
Para ajudar os defensores, a Mandiant lançou um script de scanner gratuito que replica uma regra YARA do Brickstorm para aparelhos Linux e BSD. Regras YARA para Bricksteal e Slaystyle também estão incluídas no relatório.
As Implicações para a Segurança Cibernética
Este ataque destaca várias tendências preocupantes na segurança cibernética moderna. Primeiro, demonstra que os atacantes estão dispostos a investir tempo e recursos significativos em operações de longo prazo. Segundo, mostra como os atacantes podem usar sistemas legítimos para mascarar suas atividades maliciosas.
A Mandiant adverte que seu scanner pode não detectar todas as variantes do Brickstorm, não garante a detecção de um comprometimento 100% do tempo, não procura por mecanismos de persistência e não avisa sobre dispositivos vulneráveis. Esta limitação destaca a necessidade de uma abordagem de segurança em camadas que não dependa de uma única ferramenta ou método de detecção.
Para organizações, este ataque serve como um lembrete importante da importância de monitoramento contínuo e detecção de ameaças avançada. O fato de que o Brickstorm conseguiu permanecer não detectado por mais de um ano sugere que muitas organizações podem ter vulnerabilidades similares em seus sistemas de segurança.
O ataque também destaca a importância de proteger dispositivos de borda e sistemas que podem não suportar soluções EDR tradicionais. Como o Brickstorm foi implantado em aparelhos que não suportam EDR, é crucial que as organizações implementem controles de segurança adicionais para esses sistemas.
