UNC5221: לפי Google, קבוצה חשודה כסינית שהתה 393 ימים בממוצע ברשתות
ב-25 בספטמבר 2025 פרסמו Google ו-Mandiant מחקר על BRICKSTORM, דלת אחורית של UNC5221. לפי Mandiant, התוקפים שהו ברשתות 393 ימים בממוצע בלי להתגלות.
TL;DR בקצרה
- BRICKSTORM היא דלת אחורית ב-Go במכשירי Linux ו-BSD, ושרתי vCenter ו-ESXi הם יעד מרכזי.
- לפי Mandiant, הזמן הממוצע עד גילוי היה 393 ימים. הקורבנות בעיקר משרדי עורכי דין, ספקי SaaS, BPO וחברות טכנולוגיה.
- התוקפים שכפלו בקרי דומיין וירטואליים בלי להפעיל אותם, ופתחו גישה לתיבות דואר דרך Entra ID.
- Mandiant פרסמה את brickstorm-scanner, וממליצה על ציד לפי טכניקות ועל חיזוק vSphere.
ב-25 בספטמבר 2025 פרסמו Google ו-Mandiant מחקר על BRICKSTORM, דלת אחורית של UNC5221. לפי Google, זו קבוצה שחשודה כסינית. לפי Mandiant, התוקפים שהו ברשתות הקורבנות 393 ימים בממוצע בלי להתגלות. היעדים הם בעיקר משרדי עורכי דין, ספקי SaaS, חברות BPO וחברות טכנולוגיה בארה״ב.
מי זו UNC5221 ומי הקורבנות שלה
Mandiant מייחסת את הפעילות ל-UNC5221 ולקבוצות קרובות שחשודות בקשר לסין. בעבר דיווחו על UNC5221 כעל Silk Typhoon. Google מציינת שהיא לא רואה בשתיהן אותה קבוצה.
מאז מרץ 2025 טיפלה Mandiant בחדירות בארה״ב במגזרים שונים. הכי בולטים משרדי עורכי דין. לפי Google, בתחום המשפטי המטרה היא איסוף מידע על ביטחון לאומי ועל סחר בינלאומי.
ספקי SaaS הם יעד כי דרכם אפשר להגיע ללקוחות שלהם. חברות טכנולוגיה הן יעד כי גניבת קוד יכולה לעזור בפיתוח פרצות יום אפס. מבחינת התוקפים, הקורבן הראשון הוא לפעמים רק דרך אל הקורבן הבא.
איך UNC5221 מגיעה מהמכשיר לשרתי VMware
BRICKSTORM כתובה ב-Go, ויש בה פונקציית SOCKS proxy למעבר לרשת הפנימית. Mandiant מצאה אותה במכשירי Linux ו-BSD של כמה יצרנים.
את הכניסה הראשונה קשה לשחזר. בהרבה מקרים משך השהייה עבר את משך שמירת היומנים, ולכן לא נותרו עקבות. Google מציינת שבמקרה אחד לפחות הקבוצה ניצלה פרצת יום אפס. אחרי הכניסה עברו התוקפים לשרתי vCenter ו-ESXi, עם פרטי גישה שהנוזקה ככל הנראה אספה.
ב-vCenter הם התקינו BRICKSTEAL, רכיב שיושב בזיכרון של שרת Tomcat ולוכד שמות משתמש וסיסמאות. בשני מקרים לפחות הם שכפלו מכונות וירטואליות של בקרי דומיין ושל כספות סיסמאות. המכונות נשארו כבויות, ולכן כלי אבטחה לא רצו עליהן. מהדיסק אפשר היה לחלץ את הקובץ ntds.dit.
כדי לקרוא דואר, הקבוצה ניצלה אפליקציות ארגוניות ב-Entra ID עם הרשאות mail.read או full_access_as_app. הרשאות כאלה פותחות כל תיבת דואר. בין היעדים היו מפתחים ומנהלי מערכות.
מה ממליצה Google לעשות מול UNC5221
הקבוצה לא משתמשת שוב באותם דומיינים או דגימות. לכן Google ממליצה על ציד לפי טכניקות ולא לפי IOC. Mandiant פרסמה את brickstorm-scanner, סקריפט לסריקת מכשירי *nix ו-BSD, ואת כללי YARA. בנוסף היא מציעה להגביל גישה לאינטרנט מהמכשירים, ולא לתת להם גישה חופשית לרשת הפנימית.
ב-vSphere ממליצה Google להפעיל lockdown mode, אימות רב-שלבי והגדרת execInstalledOnly, ולשלוח יומנים ל-SIEM. את כספות הסיסמאות היא מגדירה כ-Tier 0. כלומר, גישה אליהן צריכה להיות מוגבלת כמו לבקרי הדומיין.
מה קרה מאז
ב-4 בדצמבר 2025 פרסמו CISA, ה-NSA והמרכז הקנדי לסייבר דוח משותף על BRICKSTORM. הדוח כולל אינדיקטורים וכללי זיהוי. הם מייחסים את הפעילות לגורמים בחסות סין. באחד המקרים הייתה גישה לפחות מאפריל 2024 ועד ה-3 בספטמבר 2025.
מה זה אומר עבורכם
- מפו מכשירי edge: רשמו כל appliance עם גישה לאינטרנט, והגבילו את הגישה שלו לרשת הפנימית.
- סרקו: הריצו את brickstorm-scanner על מכשירי *nix ו-BSD ועל הגיבויים שלהם.
- חזקו vSphere: הפעילו lockdown mode ואימות רב-שלבי, ושלחו יומנים ל-SIEM.
- בדקו דואר: חפשו ב-Microsoft 365 אפליקציות עם mail.read או full_access_as_app.
- חפשו שכפול: בדקו ביומני vCenter אם שכפלו מכונות של בקרי דומיין.
מקורות והרחבה
- Another BRICKSTORM: Stealthy Backdoor Enabling Espionage into Tech and Legal SectorsGoogle Cloud (GTIG, Mandiant)
- BRICKSTORM Backdoor (AR25-338A)CISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
