vSphere and BRICKSTORM Malware: A Defender's Guide

Все пишут что APT атакуют виртуализацию 💀 и это слабое, слепое место без мониторинга и EDR…
Mandiant выпустили тулзу для хардеринга vCenter,

Наверное вы уже читали исследования о BRICKSTORM, где dwell time APT групп составил в среднем 393 дня 😱 вы себе представляете эту цифру, что в вашей сети 393 дня сидит APT группа и выкачивает данные?

Сама цепочка:

UNC5221 / threat actor → exploit / access → compromised edge appliance → lateral move → valid credentials → SSH login → target: vCenter Server & ESXi Hypervisor → config change → enable SSH service → deploy BRICKSTEAM (Java Servlet Filter), SLAYSTYLE (JSP webshell) и BRICKSTORM backdoor (Go-based SOCKS proxy) → install persistence через init.d / rc.local / system startup → clone sensitive VMs (DCs / vaults) → mount & extract data (ntds.dit / secrets) → exfiltrate via SOCKS.

Почитать и захардерить:
🔗 https://cloud.google.com/blog/topics/threat-intelligence/vsphere-brickstorm-defender-guide

🔨 https://github.com/mandiant/vcsa-hardening-tool

🦔THF