O malware BRICKSTORM atinge empresas de tecnologia, direito e SaaS nos EUA

Hackers estão usando o malware BRICKSTORM para infiltrar empresas dos EUA, permanecendo ocultos por mais de um ano, roubando e-mails e dados sensíveis.

Uma campanha cibernética sorrateira chamada BRICKSTORM está visando as principais indústrias dos EUA, de acordo com novas pesquisas realizadas pelo Grupo de Inteligência de Ameaças do Google (GTIG) e pela Mandiant Consulting. Desde março de 2024, o malware tem como alvo escritórios de advocacia, empresas de tecnologia, provedores de Software como Serviço (SaaS) e empresas de terceirização de negócios.

Pesquisadores afirmam que o backdoor foi projetado para espionagem a longo prazo. “Isso, juntamente com modificações no backdoor BRICKSTORM, permitiu que eles permanecessem indetectados em ambientes de vítimas por uma média de 393 dias”, observou o Google.

Os ataques estão ligados ao UNC5221, um grupo de hackers suspeito de ter ligações com a China. O grupo usa vulnerabilidades de dia zero, que são falhas de segurança não corrigidas em sistemas de software. O BRICKSTORM opera como uma ameaça oculta ao infiltrar-se em dispositivos que o software de segurança padrão não monitora, incluindo servidores VMware e outros aparelhos de rede.

Uma das descobertas mais preocupantes é a capacidade dos hackers de roubar discretamente e-mails sensíveis. Em muitos casos, eles visavam desenvolvedores, administradores de sistemas e indivíduos ligados à segurança nacional ou questões de comércio dos EUA.

A GTIG explicou que os provedores de SaaS podem dar aos invasores a capacidade de alcançar seus clientes downstream. Eles também podem atacar empresas de tecnologia roubando propriedade intelectual e potencialmente novos exploits de zero-day.

Para ajudar as organizações a se defenderem, a Mandiant lançou uma ferramenta de scanner que pode detectar sinais do BRICKSTORM em sistemas Linux e BSD. A ferramenta está disponível na página do GitHub da Mandiant.

A Mandiant aconselhou fortemente as empresas a atualizarem suas práticas de segurança, revisarem como protegem servidores críticos e adotarem uma abordagem de “caça à ameaças” em vez de confiarem apenas em métodos de detecção antigos.

“A Mandiant incentiva fortemente as organizações a reavaliarem seu modelo de ameaça para aparelhos e a realizarem exercícios de busca para este ator altamente evasivo”, disse a equipe.

A campanha demonstra como os invasores modificam suas táticas para burlar as medidas de segurança padrão, o que, na opinião dos pesquisadores, força as empresas a tomarem medidas ativas para a proteção do sistema.