CISA Çin Kaynaklı BrickStorm Saldırılarının VMware Sunucularını Etkilediğini Açıkladı

CISA yayımladığı son uyarıda Çin kaynaklı BrickStorm zararlı yazılımının VMware vSphere sunucularını hedef aldığını açıkladı. Analiz edilen örnekler saldırganların sanal ortamları perdeleme amacıyla kullandığını ortaya koyuyor. Kuruluşlar için kritik kabul edilen bu yöntem tehdit aktörlerinin hassas sistemlerde uzun süreli erişim elde etmesine kapı açıyor.

BrickStorm Saldırı Yöntemleri Güvenlik Açısından Risk Oluşturuyor

Güvenlik ekipleri BrickStorm örneklerini inceleyince saldırganların vSphere sunucuları üzerinde gizli sanal makineler kurduğunu tespit etti. Bu yöntem saldırı izlerinin arka plana gizlenmesini sağlıyor. Saldırganlar sanal makine görüntülerini kopyalayarak kimlik doğrulama bilgilerini elde ediyor. Çok katmanlı şifreleme yöntemleri iletişim trafiğini gizleyen bir yapı sunuyor. İletişim HTTPS, WebSocket, iç içe TLS tünelleri ve DNS-over-HTTPS üzerinden ilerliyor. Zararlı yazılım kendi kendini izleyerek kaldırılma girişimlerinde tekrar devreye giriyor.

CISA bir olay incelemesinde saldırganların ilk olarak bir DMZ sunucusunu ele geçirdiğini belirledi. Saldırganlar buradan vCenter sunucusuna geçti. Ardından iki etki alanı denetleyicisini ele geçirip ADFS sunucusundan anahtarları dışarı aktardı. BrickStorm zararlı yazılımı saldırganlara uzun süreli erişim sağladı çünkü elde edilen ayrıcalıklar iç ağdaki kritik bileşenlere yöneldi. Saldırganlar Active Directory verilerini kopyalayarak gerçek hesap bilgilerini çekti.

CISA güvenlik ekiplerinden kurum ağlarını düzenli biçimde taramasını istiyor. YARA ve Sigma kuralları BrickStorm faaliyetini tespit eden imzalar içeriyor. Kuruluşlar DNS-over-HTTPS sağlayıcılarını sınırlandırınca zararlı yazılımın iletişim kanalı daralıyor. Kurumlar ağ kenarındaki bileşenleri envantere alıp olağan dışı hareketleri incelemeli. DMZ trafiği iç ağdan ayrılınca saldırganların ilerleme alanı azalıyor.

CrowdStrike araştırmaları BrickStorm saldırılarının 2025 boyunca sürdüğünü gösteriyor. Şirket Warp Panda olarak adlandırdığı tehdit grubunun vCenter sunucularında Junction ve GuestConduit adındaki yeni zararlı yazılımları kullandığını açıkladı. Google Threat Intelligence Group da BrickStorm yapısının uzun süreli erişim sağladığını raporladı. UNC5221 kümesi Ivanti açıklarını hedef alıp Spawnant ile Zipline zararlı yazılımlarını kurum ağlarına yönlendirdi.