VerdantBamboo 18 Monate anhaltende Intrusion, die die Sicherheitslücke von MSP und Anwendungen freisetzt

Eine chinesisch-verknüpfte Spionagegruppe, die als NC5221 oder VerdantBamboo zurückverfolgt wird, hat eine gefährliche Kombination wiederbelichtet: Managed Lieferantenverlobung, fortschrittliche Malware und unentbewertete Ziele wie Speicheranwendungen und Firewalls. Volexity-Forscher dokumentieren, wie Angreifer die Backdoor nutzten, die als Brickstorming und zwei bisher ungesehene Werkzeuge - Teil und Agenten- den dauerhaften Zugriff auf Microsoft 365-Umgebungen und Lieferanteninfrastrukturen für mindestens 18 Monate vor der Erkennung.

Die technische Relevanz ist die Mischung von Techniken: Brickstorm fungiert als fortgeschrittenes Implantat mit ursprünglich in Go und dann in Rust geschriebenen Varianten und bietet Praktizieren Fähigkeiten, die Angreifern erlauben, mit legitimen Traffic und Bypass-Kontrollen als bedingte Access-Politik durch die Verwendung gestohlener Anmeldeinformationen und Web-Tunnels "mixen". Plenet (auch als Grimbolt gemeldet) ist eine .NET Multiplatform Hintertür, die WebSocket und Multiplexation für seine C2 verwendet, während AgentPSD ist eine einfache Hintertür in Python als alternative Mechanismus der Beharrlichkeit konzipiert. Die Verwendung von Anwendungen wie Egnyte Storage Sync, Synology NAS, pfSense und alten Mailservern spiegelt die Prädilection des Schauspielers durch Vektoren wider, die in der Regel keine robuste EDR haben.

Die oben erwähnte Intrusion umfasst auch einen kritischen Aspekt der Lieferkette: Die Angreifer haben den MSP des Kunden begangen und mit einer angemessenen Wahrscheinlichkeit von dort in Richtung der Zielumgebung geschwenkt. Dies unterstreicht, dass die Sicherheit eines Kunden eng mit der Hygiene und Segmentierung des Lieferanten verbunden ist; die klassische Sanierung in einem einzigen Umkreis reicht nicht aus, wenn der Lieferant weiterhin mit breiten Privilegien verbindet.

Die operativen Implikationen sind klar und ernst: ein Aufenthalt von 18 Monaten bedeutet eine längere Exfiltration oder Sichtbarkeit auf sensible geistige / politische Strömungen; die Wiederverwendung von Anmeldeinformationen und die Konfiguration von VPN / SSL-Zugang in Firewalls zeigen, dass Angreifer nicht nur auf Exploits verlassen, sondern auch auf legitime Konfigurationsänderungen, die ohne ausreichende Telemetrie kaum unterschieden werden; und die Fähigkeit, C2-Infrastruktur zu deaktivieren, wenn gesehen schlägt eine reife Operation, die ihre Infrastruktur passt schnell.

Für Sicherheits- und IT-Teams erfordert dies konkrete und priorisierte Aktionen: Zuerst die Möglichkeit, sich zu engagieren und einen forensischen Sweep auf administrativen Zutrittsschleifen, Änderungen in VPN / SSL-Konfiguration und ungewöhnliche Bewegungen in Legacy- und Anwendungssysteme durchzuführen. Es ist wichtig. Anmeldeinformationen und Schlüssel drehen, die Wiederherstellung von privilegierten Konten, die Anwendung von MFA für alle Managementkonten, und segregate MSP Konten mit Zugriff mit minimalen Privilegien und mit geprüften und begrenzten Sitzungen in der Zeit.

Parallel dazu müssen wir die Zugriffskontrollen auf Microsoft 365 verschärfen: Zugriffsrichtlinien mit Session-Risikokontrollen, kraftüberprüfbaren Post-Geräten und Block-Verbindungen, die Proxy-Muster darstellen oder ungewöhnliche persistente Kanäle auf Port 443 verwenden. Wenn möglich, stellen Sie EDR oder, wenn das Gerät es nicht unterstützen kann (NAS, alte Anwendungen), integrieren Sie die Erkennung im Netzwerk zur Untersuchung von WebSocket-Telemetrie und Multiplexierung in ausgehenden Verbindungen, um C2 verkapselt zu erkennen.

Nicht weniger wichtig ist die Verwaltung des Anbieters: die MSP-Konten zu überprüfen, den Zugriff durch Jump-Host mit vollständigem Protokoll von Sitzungen zu verlangen, die Trennung von Umgebungen zu überprüfen und Sicherheitskontrollen zu verlangen, die denen des Kunden entsprechen. Die Nutzung von Verletzungssimulationsübungen und Penetrationstests, die auf Kantenanwendungen ausgerichtet sind, hilft, Blindpunkte zu entdecken, bevor die Ausbeuter sie nutzen.

Für technische Geräte, die spezifische Indikatoren und Artefakte benötigen, veröffentlichte Volexity seine Analyse und eine Sammlung von IOCs, die als Ausgangspunkt für Such- und Blockaden verwendet werden können: Volexity-Analyse und das Repository mit IOCs in GitHub, um in Erkennungs- und Schlosslisten zu integrieren: IOCs VerdantBamboo in GitHub. Darüber hinaus wird die Überprüfung und das Verständnis, wie Microsofts Conditional Access-Richtlinien funktionieren, bei der Gestaltung von Regeln helfen, die die legitime Verkehrsvermischung und den schädlichen Zugriff behindern: Dokumentation des Conditional Access.

Kurz gesagt, was dieser Fall zeigt, ist, dass hoch zielgerichtete Gegner benutzerdefinierte Malware mit "Leving-off-the-land" Techniken kombinieren, auf vergessene Infrastruktur Ausrüstungen und das operative Vertrauen in Lieferanten auszunutzen. Die Verteidigung erfordert nicht nur Patches und EDR, sondern Segmentierung, Netzwerktelemetrie, MSP Governance, regelmäßige Konfigurationsrezensionen und eine kontinuierliche Erkennungsmentalität; ohne diese Schichten werden Organisationen weiterhin lange und schwierige Intrusionen zur Ausrottung konfrontiert.