לפי CISA, האקרים בחסות סין השתמשו בדלת האחורית BRICKSTORM נגד שרתי VMware vSphere
ב-4 בדצמבר 2025 פרסמו CISA, ה-NSA והמרכז הקנדי לאבטחת סייבר דוח על BRICKSTORM. לפי הדוח, גורמים בחסות סין הסתתרו עם הדלת האחורית בשרתי vCenter, וברשת של קורבן אחד שהו מאפריל 2024 עד ספטמבר 2025.
TL;DR בקצרה
- ב-4 בדצמבר 2025 פרסמו CISA, ה-NSA והמרכז הקנדי לאבטחת סייבר דוח ניתוח נוזקה על BRICKSTORM, לפי הערכתם נוזקה של גורמים בחסות סין.
- הדלת האחורית פועלת בשרתי VMware vSphere, ובדוח המקורי נותחו שמונה דגימות. היא מתחזקת את עצמה ומסתירה את התקשורת בעזרת DNS-over-HTTPS.
- באירוע אחד שבו CISA טיפלה, הגישה נמשכה מאפריל 2024 עד לפחות 3 בספטמבר 2025. הדוח לא מסביר איך התוקפים נכנסו בהתחלה.
- CISA ממליצה לעדכן את vSphere, להפריד את ה-DMZ מהרשת הפנימית, לחסום RDP ו-SMB ממנו פנימה ולחסום DoH לא מורשה.
ב-4 בדצמבר 2025 פרסמו CISA, ה-NSA והמרכז הקנדי לאבטחת סייבר דוח ניתוח נוזקה על BRICKSTORM. זו דלת אחורית שלפי הערכת הרשויות משמשת גורמים בחסות מדינת סין. הם משתמשים בה כדי להישאר זמן רב בתוך שרתי VMware vSphere של ארגונים.
איך BRICKSTORM פועלת בתוך vSphere
לפי הדוח, BRICKSTORM היא דלת אחורית מותאמת אישית לשרתי Linux. היא כתובה ב-Go או ב-Rust. הדגימות שנותחו הגיעו מסביבות vSphere, והתוקפים פעלו מול שרתי vCenter ו-ESXi. הדוח מזכיר גם גרסאות ל-Windows.
הנוזקה מקבלת פקודות מרחוק. התוקף יכול לפתוח בה Shell אינטראקטיבי, לעבור בין תיקיות ולהעלות, להוריד או למחוק קבצים. ברוב הדגימות יש גם פרוקסי SOCKS, שמאפשר לו לעבור לשרתים אחרים ברשת.
היא גם יודעת לשרוד. הנוזקה בודקת את מצבה, ואם מפריעים לה היא מתקינה או מפעילה את עצמה מחדש. ב-vSphere התוקפים שינו את סקריפט האתחול /etc/sysconfig/init כדי להריץ אותה.
גם את התקשורת שלה היא מסתירה. הנוזקה פונה לשרת השליטה דרך DNS-over-HTTPS, ואז מצפינה בכמה שכבות: HTTPS, WebSockets ו-TLS מקונן. לדברי BleepingComputer, התוקפים השתמשו ב-vSphere כדי ליצור מכונות וירטואליות סמויות. הם גם העתיקו תמונות מצב של מכונות כדי לגנוב מהן סיסמאות.
התוקפים שהו עם BRICKSTORM ברשת מאפריל 2024 עד ספטמבר 2025
הדוח מתאר אירוע אחד שבו CISA טיפלה. ב-11 באפריל 2024 התוקפים השתמשו ב-Web Shell בשרת באזור ה-DMZ. משם עברו ב-RDP, בעזרת פרטי חשבון שירות, לבקר תחום ב-DMZ והעתיקו את מסד Active Directory.
למחרת, ב-12 באפריל, הם הגיעו לבקר תחום פנימי. שם השיגו חשבון של ספק שירותי IT חיצוני (MSP) ובעזרתו נכנסו לשרת vCenter. הם הגיעו גם לשרת ADFS, וממנו הוציאו מפתחות הצפנה. הגישה נמשכה עד לפחות 3 בספטמבר 2025.
הדוח לא מסביר איך התוקפים נכנסו בהתחלה ומתי הניחו שם את ה-Web Shell. זה פער חשוב, כי מי שמחפש רק את הנוזקה עלול לפספס את דרך הכניסה.
התמונה הרחבה מגיעה מגורמים אחרים. ב-25 בספטמבר 2025 קישרה Google את BRICKSTORM לאשכול UNC5221. לפי Google, חדירות כאלה נשארו בלי גילוי בממוצע 393 ימים. לפי BleepingComputer, CrowdStrike מייחסת התקפות על vCenter לקבוצה שהיא מכנה Warp Panda.
עוד נקודה ב-Google: הנוזקה פועלת על מכשירי Linux ו-BSD שאין בהם תמיכה ב-EDR. לכן היא קשה לזיהוי בכלי ההגנה הרגילים של תחנות העבודה. מי שרוצה לסרוק יכול להשתמש בסורק BRICKSTORM ש-Mandiant פרסמה.
מה זה אומר עבורכם
- עדכנו את vSphere: CISA ממליצה לעבור לגרסה האחרונה ולהקשיח את הסביבה לפי ההנחיות של VMware.
- הפרידו את ה-DMZ: הגבילו את התעבורה בין ה-DMZ לרשת הפנימית. חסמו RDP ו-SMB מה-DMZ פנימה.
- הריצו את הכללים של CISA: הדוח כולל שבעה כללי YARA וכלל Sigma אחד. כלל ה-Sigma עובד רק על יומני vCenter.
- חסמו DoH לא מורשה: חסמו ספקי DNS-over-HTTPS שלא אישרתם. עקבו גם אחרי תעבורה יוצאת מציוד קצה ומשרתי vCenter.
- צמצמו הרשאות: הגבילו חשבונות שירות להרשאות המינימליות ועקבו אחרי השימוש בהם.
- עסק קטן עם ספק IT? שאלו אותו אם הוא מריץ vSphere ומי מנהל אותו. בקשו שיאשר שהוא יישם את ההמלצות.
מה קרה מאז
CISA עדכנה את הדוח ב-19 בדצמבר 2025 והוסיפה שלוש דגימות. ב-11 בפברואר 2026 היא הוסיפה עוד דגימה. הדגימה האחרונה היא גרסת .NET מסוג native AOT. מאז הדוח כולל 12 דגימות.
מקורות והרחבה
- BRICKSTORM Backdoor (AR25-338A)CISA
- CISA warns of Chinese BrickStorm malware attacks on VMware serversBleepingComputer
- Another BRICKSTORM: Stealthy Backdoor Enabling Espionage into Tech and Legal SectorsGoogle Cloud Threat Intelligence
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
