Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa opisali nową kampanię cyberwywiadowczą prowadzoną przez chińskojęzycznego aktora zagrożeń UNC5221, znanego również jako VerdantBamboo. Operacja pokazuje, że współczesne grupy APT coraz częściej stawiają nie na pojedyncze włamanie, lecz na długotrwałe utrzymanie obecności w środowisku ofiary, wykorzystując do tego wyspecjalizowane backdoory, przejęte poświadczenia oraz urządzenia i systemy pozostające poza standardowym monitoringiem.
W analizowanym przypadku celem były zarówno systemy lokalne, jak i infrastruktura brzegowa, serwery Linux, urządzenia NAS, zapory sieciowe oraz usługi chmurowe. To podejście znacząco utrudnia wykrycie i zwiększa odporność ataku na działania naprawcze.
W skrócie
- UNC5221 miała utrzymywać dostęp do środowiska ofiary przez co najmniej 18 miesięcy.
- W kampanii wykorzystano implant Brickstorm oraz nowe narzędzia Plenet i AgentPSD.
- Atak objął systemy on-premise, urządzenia brzegowe, pfSense, NAS Synology i środowisko Microsoft 365.
- Kluczowym elementem incydentu było również naruszenie dostawcy usług zarządzanych, co mogło umożliwić odtworzenie dostępu po remediacji.
Kontekst / historia
UNC5221 jest wiązany z wcześniejszymi operacjami wymierzonymi w urządzenia brzegowe i infrastrukturę o wysokiej wartości operacyjnej. W poprzednich raportach grupę łączono z wykorzystywaniem podatności typu zero-day oraz z wdrażaniem backdoora Brickstorm przeciwko systemom wirtualizacyjnym i serwerom zarządzania.
Najświeższe ustalenia wskazują, że początkowy dostęp do organizacji został uzyskany znacznie wcześniej niż moment wykrycia incydentu. Po częściowym usunięciu śladów atakujący mieli wrócić do środowiska i odbudować kanały dostępu, co sugeruje dobrze przygotowaną, wielowarstwową strategię persistence. Szczególnie niepokojący jest wątek kompromitacji partnera MSP, ponieważ pokazuje, jak istotnym wektorem ataku staje się dziś łańcuch zaufania.
Analiza techniczna
Według ustaleń badaczy operacja rozpoczęła się od kompromitacji systemu Egnyte Storage Sync, a następnie została rozszerzona na wewnętrzną sieć organizacji. Napastnicy wykorzystywali funkcje proxy w Brickstorm oraz przejęte poświadczenia, aby uzyskać dostęp do Microsoft 365 w sposób utrudniający egzekwowanie polityk warunkowego dostępu.
Brickstorm pozostał centralnym elementem kampanii. To zaawansowany implant zaprojektowany do ukrytej komunikacji z infrastrukturą dowodzenia i kontroli oraz do utrzymywania trwałej obecności. Wcześniejsze warianty były rozwijane w Go, natomiast nowsze próbki pojawiły się również w Rust, co może wskazywać na dalszą adaptację narzędzia do różnych platform i scenariuszy operacyjnych.
Po ponownym uzyskaniu dostępu operatorzy wdrożyli dwa dodatkowe komponenty. Plenet, określany także jako Grimbolt, to wieloplatformowy backdoor oparty na .NET, oferujący interaktywną powłokę, zdalne wykonywanie poleceń, operacje na plikach oraz możliwość zmiany serwera C2. Ważną cechą tego narzędzia jest wykorzystanie WebSocketów i multipleksowania strumieni, co zwiększa elastyczność komunikacji i ułatwia prowadzenie wielu aktywności w jednej sesji.
Drugim narzędziem był AgentPSD, prostszy reverse shell napisany w Pythonie. Jego rola była jednak istotna operacyjnie, ponieważ pełnił funkcję zapasowego kanału dostępu. Taki model działania pokazuje, że operatorzy przewidywali możliwość wykrycia głównego implantu i przygotowali alternatywną ścieżkę utrzymania obecności w sieci.
Na szczególną uwagę zasługuje dobór systemów, na których rozmieszczono malware. Obejmował on urządzenia synchronizacji plików, zapory, serwery archiwalne i pamięci NAS, czyli elementy infrastruktury często pomijane przez klasyczne narzędzia EDR. To właśnie ten aspekt mógł umożliwić wielomiesięczne pozostawanie napastników poza radarem zespołów SOC.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takich operacji jest długotrwała i trudna do usunięcia obecność w środowisku ofiary. Jeśli atakujący utrzymują dostęp przez kilkanaście miesięcy, mogą stopniowo zbierać poświadczenia, mapować sieć, identyfikować kluczowe systemy oraz odbudowywać kompromitację po każdej niepełnej remediacji.
Ryzyko rośnie jeszcze bardziej, gdy incydent obejmuje dostawcę MSP. Naruszenie partnera technicznego może zapewnić napastnikom legalnie wyglądające kanały administracyjne i potencjalnie otworzyć drogę do wielu klientów jednocześnie. W praktyce oznacza to, że organizacja nie może ograniczyć działań naprawczych wyłącznie do własnej infrastruktury.
Dostęp do Microsoft 365 zwiększa zagrożenie kradzieżą korespondencji, dokumentów, danych uwierzytelniających i informacji biznesowych. Z kolei obecność malware na urządzeniach brzegowych oraz wyspecjalizowanych systemach infrastrukturalnych utrudnia szybkie wykrycie i oszacowanie skali incydentu.
Rekomendacje
Organizacje powinny rozszerzyć monitoring bezpieczeństwa poza standardowe stacje robocze i serwery. Ochroną należy objąć zapory, urządzenia synchronizacji plików, NAS, hypervisory, serwery archiwalne oraz inne systemy infrastrukturalne, które często pozostają poza pełnym zakresem telemetrii.
W praktyce warto wdrożyć:
- centralizację logów z urządzeń brzegowych i systemów specjalizowanych,
- analizę ruchu wychodzącego pod kątem tunelowania, WebSocketów i niestandardowej komunikacji C2,
- pełny przegląd logowań i wyjątków w Microsoft 365, zwłaszcza w obszarze Conditional Access,
- segmentację dostępu dla kont uprzywilejowanych oraz systemów administracyjnych,
- rotację poświadczeń po incydencie, także w relacjach z dostawcami MSP,
- polowanie na zagrożenia w systemach bez EDR,
- przegląd konfiguracji SSL VPN, zapór i kont serwisowych używanych do integracji.
W relacjach z partnerami zewnętrznymi warto stosować zasadę ograniczonego zaufania. Oznacza to nie tylko ścisłe rejestrowanie działań administracyjnych, lecz także niezależną weryfikację bezpieczeństwa środowisk partnerów, jeśli istnieje podejrzenie naruszenia łańcucha dostaw.
Podsumowanie
Opisana kampania pokazuje wyraźną ewolucję działań chińskich grup APT w kierunku wielowarstwowej persistence, odporności na remediację oraz wykorzystywania systemów, które często nie są objęte pełnym monitoringiem bezpieczeństwa. Połączenie Brickstorm, Plenet i AgentPSD z kompromitacją MSP oraz dostępem do Microsoft 365 tworzy model ataku nastawiony na długoterminowy cyberwywiad.
Dla zespołów bezpieczeństwa kluczowy wniosek jest jednoznaczny: nowoczesna obrona nie może kończyć się na endpointach użytkowników i serwerach Windows. To właśnie urządzenia brzegowe, zapory, systemy pośredniczące i usługi administracyjne stają się dziś jednym z najważniejszych obszarów walki o wykrywalność, odporność i kontrolę nad środowiskiem.