Вредоносное ПО BRICKSTORM поражает технологические, юридические компании и компании SaaS в США

Хакеры используют вредоносное ПО BRICKSTORM для проникновения в американские компании, оставаясь незамеченными более года и крадя конфиденциальные электронные письма и данные.

Тайная киберкампания под названием BRICKSTORM нацелена на крупные отрасли США, согласно новым исследованиям Google’s Threat Intelligence Group (GTIG) и Mandiant Consulting. С марта 2024 года вирус направлен на юридические фирмы, технологические компании, поставщиков услуг в формате Software-as-a-Service (SaaS) и компании, занимающиеся аутсорсингом бизнес-процессов.

Исследователи утверждают, что задняя дверь предназначена для долгосрочного шпионажа. «Это, в сочетании с модификациями в backdoor BRICKSTORM, позволило им оставаться незамеченными в средах жертв в среднем 393 дня», — отметила Google.

Атаки связаны с UNC5221, хакерской группой, подозреваемой в связях с Китаем. Группа использует уязвимости нулевого дня, которые являются незапатченными уязвимостями безопасности в программных системах. BRICKSTORM действует как скрытая угроза, проникая в устройства, которые стандартное программное обеспечение безопасности не контролирует, включая серверы VMware и другие сетевые устройства.

Одной из наиболее тревожных открытий является способность хакеров незаметно красть конфиденциальные письма. Во многих случаях они нацеливались на разработчиков, системных администраторов и лиц, связанных с национальной безопасностью США или торговыми вопросами.

GTIG объяснили, что поставщики SaaS могут предоставить злоумышленникам возможность добраться до своих конечных клиентов. Они также могут атаковать технологические компании, крадя интеллектуальную собственность и потенциально новые уязвимости типа «ноль-день».

Чтобы помочь организациям защитить себя, Mandiant выпустила сканер, который может обнаружить признаки BRICKSTORM на системах Linux и BSD. Инструмент доступен на странице Mandiant на GitHub.

Mandiant настоятельно рекомендует компаниям обновить свои практики в области безопасности, пересмотреть способы защиты критически важных серверов и принять подход «охоты на угрозы» вместо того, чтобы полагаться только на старые методы обнаружения.

«Mandiant настоятельно рекомендует организациям пересмотреть свою модель угроз для приборов и провести упражнения по поиску этого весьма уклончивого актера», — сказала команда.

Кампания показывает, как злоумышленники изменяют свои тактики для обхода стандартных мер безопасности, что, по мнению исследователей, заставляет компании активно предпринимать меры по защите системы.