Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) εξέδωσε πρόσφατα επείγουσα προειδοποίηση σχετικά με το κακόβουλο λογισμικό BRICKSTORM, το οποίο χρησιμοποιείται σε στοχευμένες επιθέσεις εναντίον διακομιστών VMware.
Το BRICKSTORM είναι ένα εξελιγμένο, cross-platform backdoor γραμμένο σε Go, που αποδίδεται στην κινεζική κρατική ομάδα απειλής UNC5221. Αυτή η ομάδα είναι γνωστή για τις μακροχρόνιες, αθόρυβες επιχειρήσεις κατασκοπείας που πραγματοποιεί, κυρίως εναντίον νομικών, τεχνολογικών εταιρειών, παρόχων SaaS και οργανισμών outsourcing στις ΗΠΑ.
Η επικινδυνότητα του BRICKSTORM έγκειται στην ικανότητά του να εγκαθίσταται σε συστήματα που συχνά δεν καλύπτονται από παραδοσιακά εργαλεία ασφαλείας, όπως οι hypervisors VMware ESXi και οι διακομιστές vCenter. Μόλις εγκατασταθεί, το malware παρέχει στους επιτιθέμενους λειτουργικότητα SOCKS proxy, επιτρέποντάς τους να δημιουργήσουν ένα «τούνελ» και να αποκτήσουν απομακρυσμένη διαδραστική πρόσβαση σε εσωτερικά δίκτυα για κλοπή αρχείων και δεδομένων.
Πώς εκμεταλλεύονται τα συστήματα VMware
Οι χάκερ εκμεταλλεύονται συχνά αρχικές παραβιάσεις περιφερειακών συσκευών, όπως πύλες απομακρυσμένης πρόσβασης, για να αποκτήσουν έγκυρα διαπιστευτήρια. Στη συνέχεια, χρησιμοποιούν αυτά τα διαπιστευτήρια για να πραγματοποιήσουν πλευρική κίνηση εντός του δικτύου και να στοχεύσουν τους διακομιστές VMware.
Ένας κρίσιμος και επαναλαμβανόμενος τρόπος λειτουργίας τους περιλαμβάνει την κλωνοποίηση ευαίσθητων εικονικών μηχανών (VMs) στο vCenter. Στη συνέχεια, προσαρτούν την κλωνοποιημένη VM εκτός σύνδεσης, εξάγουν κρίσιμα αποθηκευμένα διαπιστευτήρια, όπως το αρχείο ntds.dit, και διαγράφουν αμέσως τον κλώνο, ελαχιστοποιώντας έτσι τον κίνδυνο ανίχνευσης. Η μέση διάρκεια παραμονής (dwell time) του BRICKSTORM στα δίκτυα πριν την ανίχνευση έχει φτάσει τις 393 ημέρες, δίνοντας στους αντιπάλους περισσότερο από ένα χρόνο για να συλλέξουν πληροφορίες και να προετοιμάσουν περαιτέρω επιχειρήσεις.
Τι πρέπει να κάνουν οι διαχειριστές
Για να προστατευτούν από την απειλή BRICKSTORM και τις κινεζικές ομάδες APT γενικότερα, οι διαχειριστές συστημάτων οφείλουν να λάβουν άμεσα μέτρα:
- Άμεση Ενημέρωση (Patching): Πρέπει να διασφαλιστεί ότι όλα τα συστήματα VMware Tools και VMware Aria Operations (όπως και άλλες συσκευές στην περίμετρο του δικτύου) έχουν πλήρως ενημερωθεί, κλείνοντας τυχόν γνωστές ευπάθειες που εκμεταλλεύονται οι επιτιθέμενοι (όπως η CVE-2025-41244).
- Ενίσχυση Ελέγχου: Είναι ζωτικής σημασίας η εφαρμογή πολυπαραγοντικής πιστοποίησης (MFA) σε όλες τις υπηρεσίες απομακρυσμένης πρόσβασης και διαχείρισης, ειδικά στα συστήματα vCenter/ESXi.
- Επιτήρηση Αποκλίσεων: Οι διαχειριστές πρέπει να παρακολουθούν στενά για ασυνήθιστες ενέργειες σε επίπεδο hypervisor, όπως η δημιουργία, προσάρτηση ή διαγραφή εικονικών μηχανών (VM) ή η πρόσβαση σε αρχεία διαμόρφωσης από μη τυπικές τοποθεσίες.
