Phát hiện VerdantBamboo triển khai biến thể BSD của BRICKSTORM trên thiết bị Linux
"Volexity reported that the China-nexus threat cluster VerdantBamboo deployed a BSD variant of BRICKSTORM, along with PLENET and AGENTPSD, against Linux appliances and a Synology NAS, using compromised credentials and VPN access to pivot into victim environments and Microsoft 365. The intrusion leveraged a local privilege escalation flaw in Egnyte Storage Sync that was fixed in version 13.13, and also involved compromise of an MSP pfSense firewall to extend access and persistence."
Tác động bảo mật nghiêm trọng do khai thác lỗ hổng đặc quyền, cài đặt backdoor đa nền tảng và xâm nhập sâu vào hệ thống doanh nghiệp.
Rủi ro vận hành ở mức cao với nguy cơ mất dữ liệu, gián đoạn dịch vụ và ảnh hưởng chuỗi cung ứng thông qua MSP.
Một nhóm tấn công mạng có liên hệ với Trung Quốc, được theo dõi với tên gọi VerdantBamboo, đã bị phát hiện triển khai biến thể BSD của mã độc BRICKSTORM cùng với hai họ mã độc khác là PLENET (GRIMBOLT) và AGENTPSD nhằm vào các thiết bị Linux appliance và NAS Synology. Theo báo cáo của Volexity, kẻ tấn công đã khai thác lỗ hổng leo thang đặc quyền cục bộ trên Egnyte Storage Sync (đã được vá từ phiên bản 13.13) để cài đặt mã độc, đồng thời sử dụng thông tin xác thực bị đánh cắp và VPN để truy cập sâu vào hệ thống nạn nhân, bao gồm cả môi trường Microsoft 365.
Sau khi bị phát hiện và xử lý ban đầu, nhóm này tiếp tục xâm nhập bằng cách sử dụng tài khoản quản trị bị đánh cắp để truy cập vào firewall pfSense của nhà cung cấp dịch vụ MSP, từ đó mở rộng quyền kiểm soát và triển khai thêm mã độc lên các thiết bị khác. Hai biến thể mã độc được cài đặt qua SSH gồm PLENET (backdoor đa nền tảng hỗ trợ thực thi lệnh, thao tác file, chuyển đổi máy chủ C2) và AGENTPSD (reverse shell viết bằng Python, đóng vai trò dự phòng).
Khuyến nghị kỹ thuật: Cập nhật Egnyte Storage Sync lên bản vá mới nhất, kiểm tra và bảo mật VPN, thay đổi thông tin xác thực quản trị, giám sát bất thường trên các thiết bị mạng và hệ thống lưu trữ, đồng thời tăng cường kiểm soát truy cập đối với các dịch vụ MSP.