Campaña UNC5221/VerdantBamboo: APT Chino Despliega Brickstorm, Plenet y AgentPSD para Persistencia Prolongada (2023-2026)
Nombres Alternativos / Aliases
- UNC5221 (Mandiant/Google Threat Intelligence Group)
- VerdantBamboo (Nombre alternativo del grupo)
- Warp Panda (CrowdStrike)
- UNC6201 (Cluster relacionado, mismo malware)
- Brickstorm / Grimbolt Campaign (Por el malware utilizado)
- Plenet Backdoor (Malware secundario, también llamado Grimbolt)
- AgentPSD Reverse Shell (Mecanismo de persistencia alternativo)
- Ghost NICs Technique (Técnica de ocultación en VMware ESXi)
- Silk Typhoon (relacionado) (OTRO APT chino, no idéntico)
Fecha de Detección / Actividad
| Fecha | Evento |
|---|---|
| Septiembre 2023 | Compromiso inicial más temprano observado por Volexity |
| Abril 2024 | Primera documentación de Brickstorm por Google/Mandiant |
| Mediados 2024 | Inicio de explotación de CVE-2026-22769 (Dell RecoverPoint) |
| Marzo 2025 | Detección del incidente por Volexity |
| Septiembre 2025 | Google publica informe sobre Brickstorm; apagado de infraestructura C2 (18-23 sept) |
| Octubre 2025 - Febrero 2026 | Actividad continua, reemplazo de Brickstorm por Grimbolt/Plenet |
| 4 Diciembre 2025 | CISA/NSA publican análisis conjunto de Brickstorm |
| 17 Febrero 2026 | Revelación de explotación de CVE-2026-22769 |
| 5 Junio 2026 | Publicación del informe consolidado por BleepingComputer |
| Estado actual | Activo (el grupo continúa operando) |
Métricas de tiempo de residencia
| Métrica | Valor |
|---|---|
| Tiempo de residencia promedio (Google) | 393 días (más de un año) |
| Tiempo de residencia mínimo observado | 18 meses (Volexity) |
| Compromiso de MSP | Al menos 18 meses antes de la detección |
Actor de Amenaza (Atribución)
| Categoría | Descripción |
|---|---|
| Nombre del Actor | UNC5221 (Mandiant/GTIG), VerdantBamboo (Volexity), Warp Panda (CrowdStrike) |
| Cluster relacionado | UNC6201 (mismo malware, técnicas similares, posible subgrupo) |
| Vínculo Gubernamental | Alto (presunto APT patrocinado por el estado chino) |
| Relación con Silk Typhoon | Relacionado pero no idéntico (según GTIG) |
| Tipo de Actor | Estado-nación / Espionaje cibernético |
| Sofisticación | MUY ALTA. El grupo demuestra: |
- Persistencia prolongada (393+ días promedio)
- Compromiso de proveedores de servicios gestionados (MSP)
- Re-infección post-remediación (acceso de respaldo)
- Desarrollo de malware multiplataforma (Golang, Rust, .NET, Python, BSD)
- Técnicas avanzadas de evasión (Ghost NICs, DNS-over-HTTPS, TLS anidado)
- Explotación de vulnerabilidades 0-day en dispositivos perimetrales (Ivanti, Dell)
- Capacidad para desplegar implantes en VMware ESXi sin EDR | | Motivación | Espionaje económico y político (robo de datos gubernamentales, legales, tecnológicos) | | Objetivos típicos | Servicios legales, SaaS, BPO, compañías tecnológicas, gobierno, infraestructura crítica, desarrolladores, administradores |
Resumen Ejecutivo
Un grupo de espionaje chino, identificado como UNC5221 (también conocido como VerdantBamboo o Warp Panda), ha estado accediendo a entornos de Microsoft 365 y servidores VMware vSphere utilizando la puerta trasera Brickstorm y malware previamente no documentado llamado Plenet (Grimbolt) y AgentPSD.
Descubrimientos clave
| Descubrimiento | Detalle |
|---|---|
| Tiempo de residencia promedio | 393 días (Google); 18+ meses (Volexity) |
| Compromiso de MSP | El proveedor de servicios gestionados de la víctima también fue comprometido (pfSense) |
| Re-infección post-remediación | El grupo regresó días después de que Volexity completara la remediación |
| Infraestructura C2 | Apagada entre el 18-23 de septiembre de 2025 (tras informe de Google) |
| Objetivos | Servicios legales, SaaS, BPO, tecnología, gobierno, manufactura |
| Víctimas en EE.UU. | Múltiples organizaciones en sectores legal, tecnológico y de manufactura |
Malware utilizado
| Malware | Lenguaje | Propósito principal | Estado |
|---|---|---|---|
| Brickstorm (variante 1) | Golang | Implante avanzado, proxy SOCKS, persistencia | Documentado desde abril 2024 |
| Brickstorm (variante 2) | Rust | Versión evolucionada del malware | Observada en 2025 |
| Brickstorm (BSD) | (Compilado para BSD) | Variante para firewalls pfSense | Encontrada en MSP |
| Plenet / Grimbolt | .NET (C#) | Puerta trasera multiplataforma, reemplazo de Brickstorm | Septiembre 2025 en adelante |
| AgentPSD | Python | Shell inversa (mecanismo de persistencia alternativo) | Desplegado pero nunca utilizado |
Vector de Ataque / Métodos de Distribución
Vectores de acceso inicial
| Vector | Detalle | Período |
|---|---|---|
| Explotación de 0-days en dispositivos perimetrales | Ivanti (desde 2023), Dell RecoverPoint (CVE-2026-22769, desde mediados 2024) | 2023-2026 |
| Compromiso de MSP | Firewall pfSense del proveedor de servicios gestionados | Al menos 18 meses |
| Credenciales robadas | Reutilización para re-infección post-remediación | Post-marzo 2025 |
Detalle del compromiso de Egnyte Storage Sync (Volexity)
| Componente | Descripción |
|---|---|
| Punto de entrada | Sistema Egnyte Storage Sync comprometido |
| Acceso mantenido | VPN web SSL de la víctima |
| Propósito | Mimetizarse con tráfico legítimo y eludir políticas de acceso condicional |
| Proxy | Funcionalidades SOCKS de Brickstorm para tunelización |
| Objetivo final | Acceso a entorno Microsoft 365 con credenciales robadas |
Compromiso del proveedor de servicios gestionados (MSP)
| Componente | Descripción |
|---|---|
| Sistema comprometido | Firewall pfSense del MSP |
| Malware desplegado | Brickstorm (variante BSD) |
| Tiempo de compromiso | Al menos 18 meses antes de la detección |
| Propagación | Del MSP al entorno de la organización víctima (confianza moderada de Volexity) |
Segunda intrusión (post-remediación)
| Método | Descripción |
|---|---|
| Credenciales robadas retenidas | El atacante nunca perdió el acceso completo |
| VPN SSL configurada | Habilitaron y configuraron acceso VPN en el firewall de la víctima |
| Conexión a sistemas internos | Acceso a red interna |
| Despliegue adicional | Malware Plenet en dispositivo NAS Synology |
Explotación de vulnerabilidades conocidas
| Vulnerabilidad | Sistema afectado | Período de explotación | Estado |
|---|---|---|---|
| CVE-2026-22769 (crítica, hardcoded credentials, CVSS: máxima) | Dell RecoverPoint for VMs | Mediados 2024 – Febrero 2026 | Parcheada (febrero 2026) |
| 0-days de Ivanti | Dispositivos Ivanti (gateways VPN) | Desde al menos 2023 | Parcheadas |
| Vulnerabilidades VMware vSphere | Servidores VMware vCenter/ESXi | Abril 2024 – Septiembre 2025 | Múltiples parches |
Técnicas avanzadas de movimiento lateral
Ghost NICs (novedosa, documentada por Mandiant)
"UNC6201 utiliza puertos de red virtuales temporales (AKA 'Ghost NICs') para pivotar desde VMs comprometidas a entornos internos o SaaS, una técnica nueva que Mandiant no había observado antes en sus investigaciones." — Mark Karayan, Gerente de Comunicaciones de Mandiant
| Característica | Descripción |
|---|---|
| Qué es | Interfaces de red virtuales temporales en VMware ESXi |
| Propósito | Movimiento lateral sigiloso entre VMs y entornos SaaS |
| Novedad | Nunca antes documentada |
| Detección | Difícil con herramientas de monitoreo tradicionales |
Rogue VMs
El atacante crea máquinas virtuales ocultas en servidores VMware vSphere para:
- Evadir detección
- Robar snapshots clonados de VMs
- Extraer credenciales
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | 0-days en Ivanti, Dell RecoverPoint, VMware |
| Initial Access (TA0001) | Trusted Relationship (T1199) | Compromiso de MSP para acceder a la víctima |
| Execution (TA0002) | Command and Scripting Interpreter (T1059) | Python (AgentPSD), .NET (Plenet), Golang/Rust (Brickstorm) |
| Persistence (TA0003) | Server Software Component (T1505) | Implantes en Egnyte, pfSense, VMware, NAS Synology |
| Persistence (TA0003) | Create Account (T1136) | Creación de cuentas VPN en firewall (segundo incidente) |
| Persistence (TA0003) | Boot or Logon Autostart Execution (T1547) | Modificación de scripts init.d y systemd en ESXi |
| Persistence (TA0003) | Self-Monitoring (no MITRE estándar) | Auto-reinstalación/restart si el malware es interrumpido |
| Defense Evasion (TA0005) | Masquerading (T1036) | Tráfico mimetizado con Cloudflare, Heroku, tráfico legítimo |
| Defense Evasion (TA0005) | Virtualization/Sandbox Evasion (T1497) | Objetivo de sistemas sin EDR (dispositivos perimetrales, NAS, firewalls, VMware) |
| Defense Evasion (TA0005) | Hidden Network Interfaces (Ghost NICs) | Técnica novedosa en VMware ESXi |
| Defense Evasion (TA0005) | DNS-over-HTTPS (DoH) | Ofuscación de comunicaciones C2 |
| Defense Evasion (TA0005) | Nested TLS Encryption | Múltiples capas de cifrado (HTTPS + WebSockets + TLS adicional) |
| Credential Access (TA0006) | OS Credential Dumping (T1003) | Captura de base de datos de Active Directory |
| Credential Access (TA0006) | Steal Application Access Token (T1528) | Robo de claves criptográficas de ADFS |
| Credential Access (TA0006) | Unsecured Credentials (T1552) | Robo de snapshots de máquinas virtuales |
| Credential Access (TA0006) | Credentials from Web Browsers (T1555.003) | Captura de credenciales de administradores/desarrolladores |
| Discovery (TA0007) | System Information Discovery (T1082) | Reconocimiento de entornos Microsoft 365 y VMware |
| Lateral Movement (TA0008) | Remote Services (T1021) | VPN, SOCKS proxy, RDP, SSH (habilitado en ESXi) |
| Collection (TA0009) | Data from Local System (T1005) | Exfiltración de correos vía Microsoft Entra ID |
| Command and Control (TA0011) | Application Layer Protocol: WebSocket (T1071.001) | Comunicación C2 vía WebSocket sobre HTTPS |
| Command and Control (TA0011) | Proxy: SOCKS (T1090) | Túneles para movimiento lateral |
| Command and Control (TA0011) | Encrypted Channel (T1573) | TLS anidado, DoH |
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Robo de datos a través de túneles C2 |
| Impact (TA0040) | Data Manipulation (T1565) | No destructivo (espionaje puro) |
Flujo de Ataque (Cyber Kill Chain)
| Fase | Descripción |
|---|---|
| 1. Reconocimiento | Identificación de MSPs y organizaciones objetivo (legal, tecnología, gobierno, manufactura) |
| 2. Armamento | Preparación de Brickstorm (Golang/Rust/BSD), Plenet (.NET), AgentPSD (Python), Bricksteal (Java para vCenter) |
| 3. Entrega | - Explotación de 0-days en Ivanti, Dell RecoverPoint, VMware
- Compromiso de MSP (pfSense) |
| 4. Explotación | Acceso inicial a sistemas Egnyte, servidores VMware, firewalls pfSense |
| 5. Instalación | - Despliegue de Brickstorm en dispositivos comprometidos
- Persistencia auto-monitoreada (reinstalación si es interrumpida) - Modificación de scripts de inicio en ESXi (init.d, systemd) |
| 6. Comando y Control | - Comunicación vía WebSocket + HTTPS + TLS anidado
- DNS-over-HTTPS para ocultar tráfico C2 - Proxy SOCKS para tunelización - Tráfico mimetizado como Cloudflare/Heroku |
| 7. Acción sobre Objetivos | - Acceso a Microsoft 365 usando credenciales robadas
- Robo de snapshots de VMs (VMware vSphere) - Captura de base de datos Active Directory - Extracción de claves criptográficas de ADFS - Exfiltración de correos vía Microsoft Entra ID - Persistencia prolongada (393+ días promedio) |
Infraestructura Utilizada
Malware Brickstorm - Características técnicas completas
| Característica | Descripción |
|---|---|
| Variantes | Golang (original), Rust (posterior), BSD (pfSense) |
| Funcionalidades | Servidor web, manipulación de archivos, dropper, relé SOCKS, ejecución de comandos shell |
| Comunicación C2 | WebSocket sobre HTTPS |
| Encriptación | Múltiples capas: HTTPS + WebSockets + TLS anidado |
| Proxy | SOCKS5 integrado para tunelización y movimiento lateral |
| DNS | DNS-over-HTTPS (DoH) para ofuscación adicional |
| Mimetización | Tráfico aparenta ser de Cloudflare, Heroku, u otros servicios legítimos |
| Persistencia | Auto-monitoreada (reinstala o reinicia el malware si es interrumpido) |
| Objetivo principal | Servidores VMware vSphere (creación de VMs rogue ocultas) |
| Módulo adicional | Bricksteal (Java Servlet Filter para vCenter) - captura de credenciales |
Malware Plenet / Grimbolt
| Característica | Descripción |
|---|---|
| Lenguaje | .NET (C#) |
| Técnica de compilación | Relativamente nueva → más rápido y difícil de analizar que Brickstorm |
| Propósito | Reemplazo de Brickstorm (observado por primera vez en septiembre de 2025) |
| Capacidades | Acceso interactivo a consola, ejecución remota de comandos, manipulación de archivos, cambio de servidor C2 |
| Diseño | Similar a Brickstorm (WebSocket + multiplexación para envío simultáneo de flujos) |
| Razón del cambio | No clara: ¿actualización planificada o reacción a detección? |
| Objetivo | Dispositivo NAS Synology (en el caso documentado por Volexity) |
Malware AgentPSD
| Característica | Descripción |
|---|---|
| Lenguaje | Python |
| Propósito | Shell inversa (mecanismo de persistencia alternativo) |
| Configuración | Conectaba a un dominio diferente al de Brickstorm |
| Uso real | Nunca utilizado (Brickstorm seguía funcionando) → era un mecanismo de acceso secundario |
| Conclusión | Demuestra redundancia en la planificación del atacante |
Malware adicional (CrowdStrike)
| Malware | Entorno | Propósito |
|---|---|---|
| Junction | VMware ESXi | Implante desconocido previamente |
| GuestConduit | VMware ESXi | Implante desconocido previamente |
Infraestructura C2
| Observación | Detalle |
|---|---|
| Huella digital | Volexity creó una huella para identificar IPs/dominios de C2 de Brickstorm |
| Puerto principal | 443 (HTTPS) |
| Apagado | Entre el 18 y 23 de septiembre de 2025, todos los servidores C2 desactivaron servicios en puerto 443 |
| Razón probable | El atacante detectó que sus operaciones estaban siendo investigadas (coincide con publicación de informe de Google en septiembre 2025) |
| Capacidad de respuesta | El grupo demostró capacidad de apagar infraestructura rápidamente cuando es detectada |
Víctimas y Sectores Afectados
| Categoría | Datos |
|---|---|
| Sectores objetivo (Google) | Servicios legales, proveedores SaaS, BPO, compañías tecnológicas |
| Sectores objetivo (CrowdStrike) | Legal, tecnología, manufactura |
| Sectores objetivo (CISA/NSA) | Infraestructura crítica, gobierno |
| Países afectados | Principalmente Estados Unidos |
| Tipo de organizaciones | Empresas con entornos Microsoft 365, VMware vSphere, dispositivos perimetrales |
| Proveedores comprometidos | Proveedores de servicios gestionados (MSP) |
| Tiempo de residencia promedio | 393 días (más de un año) |
| Tiempo de residencia mínimo documentado | 18 meses (Volexity) |
| Enfoque específico (Google) | Desarrolladores, administradores, individuos vinculados a intereses económicos y de seguridad de China |
Víctimas específicas documentadas
| Víctima/Contexto | Fuente | Detalle |
|---|---|---|
| Organización con Egnyte Storage Sync | Volexity | Comprometida durante 18 meses; acceso a M365 |
| Firewall pfSense de MSP | Volexity | Comprometido durante 18 meses |
| Servidores VMware vSphere | CISA/NSA/CrowdStrike | Múltiples organizaciones en sectores legal, tecnología, manufactura |
| Dell RecoverPoint para VMs | Mandiant/GTIG | Explotación de CVE-2026-22769 desde mediados de 2024 |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| Tiempo de residencia | MUY ALTO | 393 días promedio; 18+ meses en casos documentados |
| Capacidad de evasión | MUY ALTA | Ghost NICs, DoH, TLS anidado, targeting de sistemas sin EDR |
| Persistencia | MUY ALTA | Auto-monitoreo + reinfección post-remediación |
| Alcance geográfico | MEDIO-ALTO | Principalmente EE.UU., sectores críticos |
| Impacto en datos | MUY ALTO | Robo de snapshots de VMs, credenciales de dominio, claves ADFS, acceso a M365 |
Consecuencias específicas
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Acceso a Microsoft 365 | Crítica | El atacante accedió a entornos M365 usando credenciales robadas y tráfico mimetizado |
| Robo de snapshots de VM | Crítica | Captura de imágenes completas de servidores virtualizados con credenciales |
| Compromiso de Active Directory | Crítica | Extracción de base de datos AD completa |
| Compromiso de ADFS | Crítica | Robo de claves criptográficas para forja de tokens |
| Compromiso de MSP | Crítica | Acceso a múltiples clientes a través de un único proveedor |
| Re-infección post-remediación | Alta | El grupo mantuvo acceso de respaldo (credenciales no rotadas) |
| Exfiltración de correos | Alta | Vía Microsoft Entra ID Enterprise Apps |
Capacidades de evasión explicadas
| Técnica | Por qué es efectiva |
|---|---|
| Objetivo de sistemas sin EDR | Egnyte, pfSense, NAS Synology, VMware ESXi no tienen agentes EDR tradicionales |
| Mimetización con tráfico legítimo | VPN SSL, WebSocket sobre HTTPS aparentan tráfico normal |
| DNS-over-HTTPS | Ofusca consultas DNS, evita bloqueos basados en DNS |
| TLS anidado | Múltiples capas de cifrado dificultan inspección profunda |
| Auto-reinstalación | El malware se reinstala si es detectado y eliminado |
| Ghost NICs | Interfaces de red invisibles para monitoreo tradicional |
Detección y Respuesta
Cómo fue detectado (Volexity)
| Fase | Descripción |
|---|---|
| Investigación inicial | Respuesta a incidente en organización con Egnyte Storage Sync |
| Descubrimiento | El atacante había accedido a M365 usando credenciales robadas y tráfico VPN mimetizado |
| Línea temporal | El compromiso comenzó al menos 18 meses antes de la detección (septiembre 2023) |
| Segunda intrusión | Días después de completada la remediación, el grupo regresó usando credenciales retenidas |
| Investigación del MSP | Se descubrió que el firewall pfSense del MSP también estaba comprometido |
Recomendaciones de CISA/NSA/Cyber Centre Canada
| Acción | Descripción |
|---|---|
| Escanear con reglas YARA y Sigma | Proporcionadas por CISA para detectar Brickstorm |
| Bloquear DoH no autorizado | DNS-over-HTTPS no estándar (usado para ofuscación C2) |
| Bloquear tráfico externo no autorizado | Restringir comunicaciones salientes sospechosas |
| Inventario de dispositivos perimetrales | Monitorear actividad sospechosa en firewalls, VPNs, appliances |
| Segmentación de red | Restringir tráfico desde DMZ a redes internas |
| Rotación de credenciales | Especialmente después de compromiso de MSP o incidente |
| Monitoreo de VMware vSphere | Buscar VMs rogue, Ghost NICs, modificaciones en scripts de inicio |
| Reportar actividad | A CISA/NSA según políticas aplicables |
Reglas de detección oficiales
CISA, NSA y el Cyber Centre Canada han publicado reglas YARA y Sigma específicas para Brickstorm. Se recomienda consultar el Malware Analysis Report (MAR) conjunto para obtenerlas.
Recomendaciones para organizaciones con VMware vSphere
| Acción | Descripción |
|---|---|
| Auditar inventario de VMs | Buscar VMs no autorizadas o sospechosas |
| Revisar scripts de inicio | init.d, systemd en ESXi |
| Monitorear interfaces de red | Buscar Ghost NICs (interfaces temporales no documentadas) |
| Revisar logs de vCenter | Buscar actividad de Bricksteal (Java Servlet Filter) |
| Actualizar y parchear | Aplicar parches de VMware, Dell RecoverPoint, Ivanti |
Relación con otros grupos y campañas
| Grupo/Clúster | Relación | Fuente |
|---|---|---|
| UNC5221 | Nombre principal (Mandiant/GTIG) | |
| VerdantBamboo | Nombre alternativo | Volexity |
| Warp Panda | Nombre usado por CrowdStrike | CrowdStrike |
| UNC6201 | Cluster separado pero con overlaps (mismo malware, Ghost NICs) | Mandiant |
| Silk Typhoon | Relacionado pero no idéntico a UNC5221 | GTIG |
Overlaps técnicos entre UNC5221 y UNC6201
| Observación | Implicación |
|---|---|
| Ambos usan Brickstorm | El mismo malware es utilizado por múltiples clusters chinos |
| UNC6201 desarrolló Grimbolt (Plenet) | Plenet es llamado Grimbolt por Google |
| Ambos atacan VMware vSphere | Táctica consistente entre grupos |
| Ambos evitan sistemas con EDR | Objetivo de appliances y dispositivos perimetrales |
| UNC6201 usa Ghost NICs | Técnica novedosa, no observada en UNC5221 (posible evolución) |
Transición de Brickstorm a Grimbolt/Plenet
| Observación | Detalle |
|---|---|
| Cuándo | Septiembre 2025 |
| Razón | No clara: ¿actualización planificada o reacción a detección? |
| Características | Más rápido, más difícil de analizar, .NET vs Golang/Rust |
Opiniones de Expertos
"Volexity considera con alta probabilidad que esto se hizo para mimetizarse con el tráfico legítimo de la red y eludir las políticas de acceso condicional que, de otro modo, habrían impedido el acceso." — Volexity (sobre el uso de VPN y credenciales robadas para acceder a M365)
"UNC6201 utiliza puertos de red virtuales temporales (AKA 'Ghost NICs') para pivotar desde VMs comprometidas a entornos internos o SaaS, una técnica nueva que Mandiant no había observado antes en sus investigaciones." — Mark Karayan, Gerente de Comunicaciones de Mandiant
"Volexity concluyó que este cortafuegos, al igual que el sistema Storage Sync de la organización víctima, también había sido comprometido al menos 18 meses antes." — Volexity (sobre el firewall pfSense del MSP)
"Entre el 18 y el 23 de septiembre, todos los servidores que previamente coincidían con este patrón desactivaron sus servicios en el puerto 443. Por esas fechas, Google también publicó un nuevo informe sobre la actividad de Brickstorm, lo que podría sugerir que el atacante era consciente de que sus operaciones estaban siendo investigadas." — Volexity (sobre el apagado de infraestructura C2)
"El grupo continúa atacando dispositivos que típicamente carecen de agentes EDR tradicionales para permanecer sin ser detectados por largos períodos. Consistente con la campaña anterior de Brickstorm, UNC6201 se enfoca en appliances que no tienen capacidades de detección y respuesta de endpoints." — Mandiant
*"Esta campaña representa un cambio en las tácticas de los APT estatales: ya no se conforman con meses de persistencia, sino que miden su éxito en años. 393 días de tiempo de residencia promedio significa que, cuando una organización detecta a estos atacantes, es probable que ya hayan exfiltrado cantidades masivas de datos. La capacidad de re-infectar después de la remediación, usando credenciales que nunca fueron rotadas, sugiere que estos actores planean sus operaciones con redundancia y múltiples caminos de respaldo. Las Ghost NICs en VMware ESXi son un avance técnico significativo que probablemente veremos adoptado por otros APT en el futuro."* — Fernando Vargas (CiberAnalyst)
Referencias y Fuentes
- Toulas, B. (2026, 5 de junio). Chinese APT group deploys new malware to maintain access to hacked networks. BleepingComputer.
- Toulas, B. (2025, 24 de septiembre). Google: Brickstorm malware used to steal U.S. orgs' data for over a year. BleepingComputer.
- Gatlan, S. (2025, 4 de diciembre). CISA warns of Chinese "BrickStorm" malware attacks on VMware servers. BleepingComputer.
- Gatlan, S. (2026, 17 de febrero). *Chinese hackers exploiting Dell zero-day flaw since mid-2024*. BleepingComputer.
- Volexity. (2025-2026). *Incident Response Report: UNC5221/VerdantBamboo Compromise*.
- CISA/NSA/Cyber Centre Canada. (2025, 4 de diciembre). Brickstorm Malware Analysis Report (MAR) .
- Google Threat Intelligence Group (GTIG). (2025, septiembre). Brickstorm Campaign Report.
- CrowdStrike. (2025). Warp Panda: Brickstorm Malware Attacks on VMware vCenter.
- Mandiant. (2024, abril). First documentation of Brickstorm backdoor.
- Mandiant. (2025, septiembre). *UNC6201: Grimbolt, Ghost NICs, and Dell zero-day exploitation*.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-06-11 | 1.0 | Fernando Vargas Hincapié | Creación inicial consolidada basada en informes de BleepingComputer, Volexity, CISA/NSA, Google GTIG, Mandiant, CrowdStrike |
Indicadores de Compromiso (IOCs)
Malware Brickstorm - Características de detección
| Característica | Valor |
|---|---|
| Comunicación | WebSocket sobre HTTPS (puerto 443) |
| DNS | DNS-over-HTTPS (DoH) |
| Proxy | SOCKS5 integrado |
| Persistencia | Auto-monitoreo + reinstalación |
| Lenguajes | Golang, Rust, (BSD para pfSense) |
| Mimetización | Tráfico aparenta Cloudflare, Heroku |
Malware Plenet / Grimbolt - Características de detección
| Característica | Valor |
|---|---|
| Lenguaje | .NET (C#) |
| Comunicación | WebSocket |
| Multiplexación | Envío simultáneo de flujos de datos |
| Capacidades | Acceso consola, ejecución remota, manipulación archivos, cambio de C2 |
Malware AgentPSD - Características de detección
| Característica | Valor |
|---|---|
| Lenguaje | Python |
| Propósito | Shell inversa |
| Estado | Desplegado pero nunca utilizado |
Técnicas novedosas - Indicadores de búsqueda
| Técnica | Dónde buscar | Qué buscar |
|---|---|---|
| Ghost NICs | VMware ESXi / vCenter | Interfaces de red virtuales temporales no documentadas |
| Rogue VMs | VMware vSphere | Máquinas virtuales ocultas o no autorizadas |
| Bricksteal | vCenter | Java Servlet Filters maliciosos |
| Modificaciones ESXi | init.d, systemd | Scripts de inicio modificados |
| SSH habilitado | ESXi | Acceso SSH no autorizado habilitado |
Reglas de detección oficiales
CISA/NSA/Cyber Centre Canada han publicado reglas YARA y Sigma. Consultar el Malware Analysis Report (MAR) oficial.
Hashes específicos
Para hashes actualizados de Brickstorm, Plenet/Grimbolt y AgentPSD, consultar:
- El informe de Volexity (publicación de IoCs)
- El repositorio de CISA/NSA
- Los feeds de inteligencia de amenazas de Google/Mandiant
- El sitio web de CrowdStrike
Comportamiento anómalo a monitorear
| Comportamiento | Dónde buscar |
|---|---|
| Tráfico WebSocket a IPs no estándar | Logs de firewall/proxy, inspección profunda de paquetes |
| DNS-over-HTTPS no autorizado | Logs de DNS, monitoreo de red |
| Interfaces de red temporales en ESXi | Logs de vCenter, configuración de red |
| VMs ocultas/rogue | Inventario de VMware vSphere |
| Acceso a M365 desde IPs sospechosas | Logs de Azure AD / Microsoft 365 |
| Actividad de credenciales en sistemas Egnyte | Logs de Egnyte Storage Sync |
| Modificaciones en firewalls pfSense | Logs de pfSense, cambios de configuración |
| Tráfico C2 saliente en puerto 443 con patrones específicos | Inspección profunda de paquetes (DPI) |
| Java Servlet Filters no autorizados | Logs y configuración de vCenter |
| Scripts de inicio modificados en ESXi | Archivos init.d, systemd |
Preguntas sin respuesta
| Pregunta | Estado |
|---|---|
| ¿UNC5221, VerdantBamboo y Warp Panda son el mismo grupo? | Alta probabilidad, confirmación cruzada entre fuentes |
| ¿UNC6201 es un subgrupo, un grupo diferente o el mismo? | Overlaps significativos, pero no idéntico según GTIG |
| ¿Cuántas organizaciones fueron comprometidas a través del MSP? | No especificado |
| ¿Las credenciales robadas del MSP fueron rotadas después del informe? | No especificado públicamente |
| ¿El grupo ha re-emergido con nueva infraestructura después de septiembre 2025? | Probable, pero no documentado públicamente (aún) |
| ¿Plenet/Grimbolt es un reemplazo completo de Brickstorm o una variante? | Reemplazo observado, pero razón no clara |
| ¿El grupo ha utilizado Ghost NICs en ataques más recientes? | No documentado desde septiembre 2025 |
Etiquetas / Categorías
text
unc5221 verdantbamboo warp-panda unc6201 chinese-apt brickstorm-grimbolt plenet-agentpsd volexity cisa-nsa mandiant google-threat-intelligence microsoft-365-compromise msp-compromise vmware-vsphere-persistence ghost-nics esxi-stealth dell-recoverpoint-zero-day cve-2026-22769 prolonged-persistence 393-day-residency nation-state-espionage silk-typhoon