El malware BRICKSTORM golpea a las empresas de tecnología, derecho y SaaS de EE.UU.

Los hackers están utilizando el malware BRICKSTORM para infiltrarse en empresas de EE.UU., permaneciendo ocultos durante más de un año, robando correos electrónicos sensibles y datos.

Una campaña cibernética sigilosa llamada BRICKSTORM está enfocándose en las principales industrias de los EE. UU., según una nueva investigación realizada por el Grupo de Inteligencia de Amenazas de Google (GTIG por sus siglas en inglés) y Mandiant Consulting. Desde marzo de 2024, el malware ha estado enfocándose en bufetes de abogados, empresas tecnológicas, proveedores de Software-como-Servicio (SaaS) y empresas de externalización de negocios.

Los investigadores afirman que el backdoor está diseñado para el espionaje a largo plazo. “Esto, junto con las modificaciones al backdoor BRICKSTORM, les ha permitido permanecer indetectables en los entornos de las víctimas durante 393 días, en promedio”, señaló Google.

Los ataques están vinculados a UNC5221, un grupo de hackers sospechoso de tener vínculos con China. El grupo utiliza vulnerabilidades de día cero, que son fallos de seguridad no parcheados en sistemas de software. BRICKSTORM funciona como una amenaza oculta al infiltrarse en dispositivos que el software de seguridad estándar no monitorea, estos incluyen servidores VMware y otros dispositivos de red.

Uno de los hallazgos más preocupantes es la habilidad de los hackers para robar silenciosamente correos electrónicos sensibles. En muchos casos, se enfocaron en desarrolladores, administradores de sistemas e individuos vinculados con la seguridad nacional de los Estados Unidos o cuestiones de comercio.

GTIG explicó que los proveedores de SaaS pueden dar a los atacantes la capacidad de llegar a sus clientes de downstream. También pueden atacar a las empresas de tecnología robándoles propiedad intelectual y potencialmente nuevos exploits de día cero.

Para ayudar a las organizaciones a defenderse, Mandiant ha lanzado una herramienta de escaneo capaz de detectar indicios de BRICKSTORM en sistemas Linux y BSD. La herramienta está disponible en la página de GitHub de Mandiant.

Mandiant aconsejó enfáticamente a las empresas que actualicen sus prácticas de seguridad, revisen cómo protegen sus servidores críticos y adopten un enfoque de “caza de amenazas” en lugar de confiar únicamente en los viejos métodos de detección.

“Mandiant recomienda encarecidamente a las organizaciones que reevalúen su modelo de amenazas para los electrodomésticos y realicen ejercicios de búsqueda para este actor altamente evasivo”, dijo el equipo.

La campaña demuestra cómo los atacantes modifican sus tácticas para eludir las medidas de seguridad estándar, lo que los investigadores argumentan que impulsa a las empresas a tomar medidas activas para la protección del sistema.