Atak Malware BRICKSTORM dotyka amerykańskie firmy technologiczne, prawne oraz firmy SaaS

Hakerzy wykorzystują złośliwe oprogramowanie BRICKSTORM do infiltracji amerykańskich firm, pozostając niewykryci przez ponad rok i kradnąc wrażliwe e-maile i dane.

Ukryta kampania cybernetyczna o nazwie BRICKSTORM ma na celu największe amerykańskie branże, według nowych badań przeprowadzonych przez Grupę ds. Wywiadu Cybernetycznego Google’a (GTIG) oraz Mandiant Consulting. Od marca 2024 roku, złośliwe oprogramowanie atakuje kancelarie prawne, firmy technologiczne, dostawców oprogramowania jako usługi (SaaS) oraz firmy outsourcingowe.

Badacze twierdzą, że tylna furtka jest zaprojektowana do długoterminowego szpiegowania. „To, w połączeniu z modyfikacjami tylnych furtek BRICKSTORM, umożliwiło im pozostanie niewykrytymi w środowiskach ofiar przez średnio 393 dni,” zauważyło Google.

Ataki są powiązane z UNC5221, grupą hakerów podejrzewaną o powiązania z Chinami. Grupa ta wykorzystuje luki zero-day, które są niezałatanymi błędami bezpieczeństwa w systemach oprogramowania. BRICKSTORM działa jako ukryte zagrożenie, infiltrując urządzenia, które standardowe oprogramowanie zabezpieczające nie monitoruje, obejmują one serwery VMware i inne urządzenia sieciowe.

Jednym z najbardziej niepokojących odkryć jest zdolność hakerów do cichego kradzenia poufnych e-maili. W wielu przypadkach ich celem byli deweloperzy, administratorzy systemów oraz osoby związane z amerykańskim bezpieczeństwem narodowym czy kwestiami handlowymi.

GTIG wyjaśniło, że dostawcy SaaS mogą dać atakującym możliwość dotarcia do swoich klientów końcowych. Mogą również atakować firmy technologiczne, kradnąc własność intelektualną i potencjalnie nowe wykorzystania zerodniowych luk.

Aby pomóc organizacjom w obronie przed zagrożeniami, Mandiant udostępniła narzędzie skanujące, które potrafi wykryć ślady BRICKSTORM na systemach Linux i BSD. Narzędzie dostępne jest na stronie GitHub Mandiant.

Mandiant zdecydowanie zaleca firmom aktualizację swoich praktyk bezpieczeństwa, przeanalizowanie sposobu, w jaki chronią one swoje kluczowe serwery, oraz przyjęcie podejścia „polowania na zagrożenia”, zamiast polegania wyłącznie na starych metodach wykrywania.

„Mandiant zdecydowanie zachęca organizacje do ponownej oceny swojego modelu zagrożeń dla urządzeń i przeprowadzenia ćwiczeń w poszukiwaniu tego niezwykle unikającego aktora,” powiedział zespół.

Kampania pokazuje, jak atakujący modyfikują swoje taktyki, aby ominąć standardowe środki bezpieczeństwa, co zdaniem badaczy zmusza firmy do podjęcia aktywnych działań w celu ochrony systemu.