BRICKSTORM Zararlı Yazılımı, ABD Teknoloji, Hukuk ve SaaS Firmalarını Vurdu

Hackerlar, BRICKSTORM zararlı yazılımını kullanarak ABD şirketlerine sızıyor, bir yıldan fazla süre boyunca gizleniyor ve hassas e-postaları ve verileri çalıyor.

BRICKSTORM adlı gizli bir siber kampanya, büyük Amerikan endüstrilerini hedef alıyor. Bu durum, Google’ın Tehdit İstihbarat Grubu (GTIG) ve Mandiant Consulting tarafından yapılan yeni bir araştırmaya göre belirlendi. Mart 2024’ten bu yana, bu zararlı yazılım hukuk firmalarını, teknoloji şirketlerini, Yazılım-Hizmet olarak (SaaS) sağlayıcıları ve iş süreçlerini dış kaynak olarak kullanan firmaları hedef almaktadır.

Araştırmacılar, arka kapının uzun vadeli casusluk için tasarlandığını söylüyor. “Bu, BRICKSTORM arka kapısının modifikasyonlarıyla birleştiğinde, kurbanların ortamında ortalama 393 gün boyunca tespit edilememelerini sağlamıştır” diye not düşüldü Google tarafından.

Saldırılar, Çin ile bağlantısı olduğu düşünülen UNC5221 adlı bir hacker grubuyla bağlantılı. Grup, yama yapılmamış yazılım sistemlerindeki güvenlik açıkları olan sıfırıncı gün zafiyetlerini kullanır. BRICKSTORM, standart güvenlik yazılımının izlemediği cihazlara sızarak gizli bir tehdit olarak çalışır, bunlar arasında VMware sunucuları ve diğer ağ cihazları bulunur.

En endişe verici bulgulardan biri, hackerların hassas e-postaları sessizce çalabilme yeteneğidir. Çoğu durumda, geliştiricileri, sistem yöneticilerini ve ABD’nin ulusal güvenlik veya ticaret konularıyla ilgili bireyleri hedef aldılar.

GTIG, SaaS sağlayıcıların saldırganlara aşağı yönlü müşterilerine ulaşma yeteneği verebileceğini açıkladı. Ayrıca teknoloji şirketlerine saldırarak fikri mülkiyet çalabilir ve potansiyel olarak yeni sıfırıncı gün açıklarını kullanabilirler.

Organizasyonların kendilerini savunmalarına yardımcı olmak için, Mandiant, Linux ve BSD sistemlerinde BRICKSTORM’un izlerini tespit edebilecek bir tarayıcı aracı yayımladı. Bu araç, Mandiant’ın GitHub sayfasında mevcut.

Mandiant, şirketlere güvenlik uygulamalarını güncellemelerini, kritik sunucuları nasıl koruduklarını gözden geçirmelerini ve yalnızca eski tespit yöntemlerine güvenmek yerine “tehdit avı” yaklaşımını benimsemelerini şiddetle tavsiye etti.

“Mandiant, kuruluşları tehdit modelini yeniden değerlendirmeye ve bu son derece kaçamaklı aktör için av egzersizleri yapmaya şiddetle teşvik ediyor,” dedi ekip.

Kampanya, saldırganların standart güvenlik önlemlerini aşmak için taktiklerini nasıl değiştirdiğini gösteriyor. Araştırmacılar, bu durumun işletmeleri sistem koruması için aktif önlemler almaya ittiğini savunuyor.