Nombres Alternativos / Aliases
- UNC5221 (Mandiant/Google Threat Intelligence Group)
- VerdantBamboo (Nombre alternativo del grupo)
- Warp Panda (CrowdStrike)
- Brickstorm / Grimbolt Campaign (Por el malware utilizado)
- Plenet Backdoor (Malware secundario)
- AgentPSD Reverse Shell (Mecanismo de persistencia alternativo)
- Ghost NICs Technique (Técnica de ocultación en VMware ESXi)
Fecha de Detección / Actividad
- Primera documentación de Brickstorm (Google) : Abril de 2024
- Primer compromiso observado (Volexity) : Septiembre de 2023 (18 meses antes de la detección)
- Detección del incidente (Volexity) : Marzo de 2025
- Período de actividad confirmado: Septiembre 2023 – Septiembre 2025 (mínimo 2 años)
- Segunda intrusión post-remediación: Días después de completada la remediación
- Apagado de infraestructura C2: 18-23 de septiembre de 2025 (coincidiendo con publicación de informe de Google)
- Explotación de vulnerabilidad Dell (CVE-2026-22769) : Mediados de 2024 – Febrero 2026
- Estado actual: Activo (el grupo continúa operando)
Actor de Amenaza (Atribución)
| Categoría
|
Descripción
|
| Nombre del Actor
|
UNC5221 (Mandiant/GTIG), VerdantBamboo, Warp Panda (CrowdStrike)
|
| Vínculo Gubernamental
|
Alto (presunto APT patrocinado por el estado chino)
|
| Tipo de Actor
|
Estado-nación / Espionaje cibernético
|
| Sofisticación
|
MUY ALTA. El grupo demuestra:
|
- Persistencia prolongada (>18 meses sin detección)
- Compromiso de proveedores de servicios gestionados (MSP)
- Re-infección post-remediación (acceso de respaldo)
- Desarrollo de malware multiplataforma (Golang, Rust, .NET, Python, BSD)
- Técnicas avanzadas de evasión (Ghost NICs, DNS-over-HTTPS, TLS anidado)
- Explotación de vulnerabilidades 0-day en dispositivos perimetrales | | Motivación | Espionaje (robo de datos gubernamentales, legales, tecnológicos) | | Objetivos típicos | Servicios legales, SaaS, BPO, compañías tecnológicas, gobiernos, infraestructura crítica | | Tiempo de residencia promedio | 18+ meses (antes de detección) |
Resumen Ejecutivo
Un grupo de espionaje chino, identificado como UNC5221 (también conocido como VerdantBamboo o Warp Panda), ha estado accediendo a entornos de Microsoft 365 utilizando la puerta trasera Brickstorm y malware previamente no documentado llamado Plenet y AgentPSD. La campaña representa uno de los casos más prolongados de persistencia no detectada documentados recientemente.
Descubrimientos clave
| Descubrimiento
|
Detalle
|
| Tiempo de residencia
|
18 meses (el atacante estuvo en la red antes de ser detectado)
|
| Compromiso de MSP
|
El proveedor de servicios gestionados de la víctima también fue comprometido
|
| Re-infección post-remediación
|
El grupo regresó días después de que Volexity completara la remediación
|
| Infraestructura C2
|
Apagada entre el 18-23 de septiembre de 2025 (tras informe de Google)
|
| Objetivos
|
Servicios legales, SaaS, BPO, tecnología, gobierno, infraestructura crítica
|
Malware utilizado
| Malware
|
Lenguaje
|
Propósito principal
|
| Brickstorm (variante 1)
|
Golang
|
Implante avanzado, proxy SOCKS, persistencia
|
| Brickstorm (variante 2)
|
Rust
|
Versión evolucionada del malware
|
| Brickstorm (BSD)
|
(BSD)
|
Variante para firewalls pfSense
|
| Plenet / Grimbolt
|
.NET (C#)
|
Puerta trasera multiplataforma, reemplazo de Brickstorm
|
| AgentPSD
|
Python
|
Shell inversa (mecanismo de persistencia alternativo)
|
Vector de Ataque / Métodos de Distribución
Vector inicial de compromiso (primer incidente Volexity)
| Componente
|
Descripción
|
| Punto de entrada
|
Sistema Egnyte Storage Sync comprometido
|
| Acceso mantenido
|
VPN web SSL de la víctima
|
| Propósito
|
Mimetizarse con tráfico legítimo y eludir políticas de acceso condicional
|
Vector de re-infección (segundo incidente)
| Componente
|
Descripción
|
| Método
|
Credenciales robadas (mantenidas por el atacante)
|
| Acción
|
Habilitaron y configuraron acceso VPN SSL en el firewall de la víctima
|
| Objetivo
|
Conexión a sistemas internos y despliegue de malware adicional
|
Compromiso del proveedor de servicios gestionados (MSP)
| Componente
|
Descripción
|
| Sistema comprometido
|
Firewall pfSense del MSP
|
| Malware desplegado
|
Brickstorm (variante BSD)
|
| Tiempo de compromiso
|
Al menos 18 meses antes de la detección
|
| Propagación
|
Del MSP al entorno de la organización víctima (alta confianza de Volexity)
|
Explotación de vulnerabilidades conocidas
| Vulnerabilidad
|
Sistema afectado
|
Período de explotación
|
| CVE-2026-22769 (crítica, hardcoded credentials)
|
Dell RecoverPoint for VMs
|
Mediados 2024 – Febrero 2026
|
| 0-days de Ivanti
|
Dispositivos Ivanti
|
Desde al menos 2023
|
| Vulnerabilidades VMware vSphere
|
Servidores VMware
|
Abril 2024 – Septiembre 2025
|
Técnica de "Ghost NICs" (novedosa)
Según Mandiant, el grupo utiliza interfaces de red virtuales temporales (Ghost NICs) en servidores VMware ESXi para:
- Moverse sigilosamente entre VMs comprometidas
- Acceder a entornos internos o SaaS
- Técnica nunca antes observada por Mandiant en investigaciones
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Exploit Public-Facing Application (T1190)
|
Explotación de vulnerabilidades en Ivanti, Dell RecoverPoint, VMware
|
| Initial Access (TA0001)
|
Trusted Relationship (T1199)
|
Compromiso de MSP para acceder a la víctima
|
| Execution (TA0002)
|
Command and Scripting Interpreter (T1059)
|
Python (AgentPSD), .NET (Plenet), Golang/Rust (Brickstorm)
|
| Persistence (TA0003)
|
Server Software Component (T1505)
|
Implantes en dispositivos Egnyte, pfSense, VMware, NAS Synology
|
| Persistence (TA0003)
|
Create Account (T1136)
|
Creación de cuentas VPN en firewall (segundo incidente)
|
| Persistence (TA0003)
|
Self-Monitoring (no MITRE estándar)
|
Auto-reinstalación/restart si el malware es interrumpido
|
| Defense Evasion (TA0005)
|
Masquerading (T1036)
|
Tráfico mimetizado con comunicaciones legítimas de red
|
| Defense Evasion (TA0005)
|
Hidden Network Interfaces (Ghost NICs)
|
Técnica novedosa en VMware ESXi
|
| Defense Evasion (TA0005)
|
DNS-over-HTTPS (DoH)
|
Ofuscación de comunicaciones C2
|
| Defense Evasion (TA0005)
|
Nested TLS Encryption
|
Múltiples capas de cifrado (HTTPS + WebSockets + TLS)
|
| Defense Evasion (TA0005)
|
Virtualization/Sandbox Evasion (T1497)
|
Objetivo de sistemas sin EDR (dispositivos perimetrales, NAS, firewalls)
|
| Credential Access (TA0006)
|
OS Credential Dumping (T1003)
|
Captura de base de datos de Active Directory
|
| Credential Access (TA0006)
|
Steal Application Access Token (T1528)
|
Robo de claves criptográficas de ADFS
|
| Credential Access (TA0006)
|
Unsecured Credentials (T1552)
|
Robo de snapshots de máquinas virtuales para extracción de credenciales
|
| Discovery (TA0007)
|
System Information Discovery (T1082)
|
Reconocimiento de entornos Microsoft 365
|
| Lateral Movement (TA0008)
|
Remote Services (T1021)
|
VPN, SOCKS proxy, RDP
|
| Command and Control (TA0011)
|
WebSocket (T1521.001?)
|
Comunicación C2 vía WebSocket
|
| Command and Control (TA0011)
|
Application Layer Protocol (T1071)
|
HTTPS, WebSockets, DoH
|
| Command and Control (TA0011)
|
Proxy: SOCKS (T1090)
|
Túneles para movimiento lateral
|
| Exfiltration (TA0010)
|
Exfiltration Over Web Service (T1567)
|
Robo de snapshots de VMs a través de túneles C2
|
| Impact (TA0040)
|
Data Manipulation (T1565)
|
No destructivo (espionaje puro)
|
Flujo de Ataque (Cyber Kill Chain)
| Fase
|
Descripción
|
| 1. Reconocimiento
|
Identificación de MSPs y organizaciones objetivo (legal, tecnología, gobierno)
|
| 2. Armamento
|
Preparación de malware Brickstorm (Golang/Rust), Plenet (.NET), AgentPSD (Python)
|
| 3. Entrega
|
- Explotación de vulnerabilidades en dispositivos perimetrales (Ivanti, Dell RecoverPoint)
- Compromiso de MSP (pfSense)
|
| 4. Explotación
|
Acceso inicial a sistemas Egnyte, servidores VMware, firewalls pfSense
|
| 5. Instalación
|
- Despliegue de Brickstorm en dispositivos comprometidos
- Persistencia auto-monitoreada (reinstalación si es interrumpida)
|
| 6. Comando y Control
|
- Comunicación vía WebSocket + HTTPS + TLS anidado
- DNS-over-HTTPS para ocultar tráfico C2
- Proxy SOCKS para tunelización
|
| 7. Acción sobre Objetivos
|
- Acceso a Microsoft 365 usando credenciales robadas
- Robo de snapshots de VMs (VMware vSphere)
- Captura de base de datos Active Directory
- Extracción de claves criptográficas de ADFS
- Persistencia prolongada (>18 meses)
|
Infraestructura Utilizada
Malware Brickstorm - Características técnicas
| Característica
|
Descripción
|
| Variantes
|
Golang (original), Rust (posterior), BSD (pfSense)
|
| Comunicación C2
|
WebSocket sobre HTTPS
|
| Encriptación
|
Múltiples capas: HTTPS + WebSockets + TLS anidado
|
| Proxy
|
SOCKS para tunelización y movimiento lateral
|
| DNS
|
DNS-over-HTTPS (DoH) para ofuscación adicional
|
| Persistencia
|
Auto-monitoreada (reinstala o reinicia el malware si es interrumpido)
|
| Objetivo principal
|
Servidores VMware vSphere (creación de VMs rogue ocultas)
|
Malware Plenet / Grimbolt
| Característica
|
Descripción
|
| Lenguaje
|
.NET (C#)
|
| Técnica de compilación
|
Técnica relativamente nueva → más rápido y difícil de analizar
|
| Propósito
|
Reemplazo de Brickstorm (observado por primera vez en septiembre de 2025)
|
| Capacidades
|
Acceso interactivo a consola, ejecución remota de comandos, manipulación de archivos, cambio de C2
|
| Diseño
|
Similar a Brickstorm (WebSocket + multiplexación)
|
| Objetivo
|
Dispositivo NAS Synology
|
Malware AgentPSD
| Característica
|
Descripción
|
| Lenguaje
|
Python
|
| Propósito
|
Shell inversa (mecanismo de persistencia alternativo)
|
| Configuración
|
Conectaba a un dominio diferente al de Brickstorm
|
| Uso real
|
Nunca utilizado (Brickstorm seguía funcionando) → era un mecanismo de acceso secundario
|
Infraestructura C2
| Observación
|
Detalle
|
| Huella digital
|
Volexity creó una huella para identificar IPs/dominios de C2 de Brickstorm
|
| Apagado
|
Entre el 18 y 23 de septiembre de 2025, todos los servidores C2 desactivaron servicios en puerto 443
|
| Razón probable
|
El atacante detectó que sus operaciones estaban siendo investigadas (coincide con publicación de informe de Google)
|
Víctimas y Sectores Afectados
| Categoría
|
Datos
|
| Sectores objetivo
|
Servicios legales, proveedores SaaS, BPO, compañías tecnológicas, gobierno, infraestructura crítica
|
| Países afectados
|
Principalmente Estados Unidos (también otros países occidentales)
|
| Tipo de organizaciones
|
Empresas con entornos Microsoft 365, VMware vSphere, dispositivos perimetrales
|
| Proveedores comprometidos
|
Proveedores de servicios gestionados (MSP)
|
| Tiempo de residencia
|
18+ meses antes de detección
|
Víctimas específicas documentadas
| Víctima/Contexto
|
Detalle
|
| Organización con Egnyte Storage Sync
|
Comprometida durante 18 meses
|
| Firewall pfSense de MSP
|
Comprometido durante 18 meses
|
| Servidores VMware vSphere
|
Múltiples organizaciones en sectores legal, tecnología, manufactura (CrowdStrike)
|
| Dell RecoverPoint para VMs
|
Explotación de CVE-2026-22769 desde mediados de 2024
|
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Tiempo de residencia
|
MUY ALTO
|
18+ meses sin detección
|
| Capacidad de evasión
|
MUY ALTA
|
Ghost NICs, DoH, TLS anidado, targeting de sistemas sin EDR
|
| Persistencia
|
MUY ALTA
|
Auto-monitoreo + reinfección post-remediación
|
| Alcance
|
MEDIO-ALTO
|
Sectores gubernamentales, legales, tecnológicos
|
| Impacto en datos
|
MUY ALTO
|
Robo de snapshots de VMs, credenciales de dominio, claves ADFS, acceso a M365
|
Consecuencias específicas
| Consecuencia
|
Gravedad
|
Detalle
|
| Acceso a Microsoft 365
|
Crítica
|
El atacante accedió a entornos M365 usando credenciales robadas
|
| Robo de snapshots de VM
|
Crítica
|
Captura de imágenes completas de servidores virtualizados
|
| Compromiso de Active Directory
|
Crítica
|
Extracción de base de datos AD, claves criptográficas
|
| Compromiso de MSP
|
Crítica
|
Acceso a múltiples clientes a través de un único proveedor
|
| Re-infección post-remediación
|
Alta
|
El grupo mantuvo acceso de respaldo (credenciales no rotadas)
|
Por qué fue posible la persistencia prolongada
| Factor
|
Explicación
|
| Objetivo de sistemas sin EDR
|
Dispositivos Egnyte, pfSense, NAS Synology, VMware ESXi
|
| Mimetización con tráfico legítimo
|
VPN SSL, WebSocket sobre HTTPS
|
| Auto-reinstalación
|
El malware se reinstala si es interrumpido
|
| Credenciales no rotadas
|
El grupo mantuvo acceso incluso después de la remediación inicial
|
Detección y Respuesta
Cómo fue detectado
| Fase
|
Descripción
|
| Investigación inicial (Volexity)
|
Respuesta a incidente en organización con Egnyte Storage Sync
|
| Descubrimiento
|
El atacante había accedido a M365 usando credenciales robadas y tráfico VPN mimetizado
|
| Línea temporal
|
El compromiso comenzó al menos 18 meses antes de la detección (septiembre 2023)
|
| Segunda intrusión
|
Días después de completada la remediación, el grupo regresó usando credenciales retenidas
|
Recomendaciones de CISA/NSA
| Acción
|
Descripción
|
| Escanear con reglas YARA y Sigma
|
Proporcionadas por CISA para detectar Brickstorm
|
| Bloquear DoH no autorizado
|
DNS-over-HTTPS no estándar (usado para ofuscación C2)
|
| Bloquear tráfico externo no autorizado
|
Restringir comunicaciones salientes
|
| Inventario de dispositivos perimetrales
|
Monitorear actividad sospechosa en firewalls, VPNs, appliances
|
| Segmentación de red
|
Restringir tráfico desde DMZ a redes internas
|
| Rotación de credenciales
|
Especialmente después de compromiso de MSP
|
Relación con otros grupos y campañas
| Grupo/Clúster
|
Relación
|
Fuente
|
| UNC5221
|
Nombre principal (Mandiant/GTIG)
|
Google
|
| VerdantBamboo
|
Nombre alternativo
|
Volexity
|
| Warp Panda
|
Nombre usado por CrowdStrike
|
CrowdStrike
|
| Silk Typhoon
|
Relacionado pero no idéntico
|
Google
|
| UNC6201
|
Cluster separado pero con overlaps
|
Mandiant
|
Overlaps técnicos
| Observación
|
Implicación
|
| UNC6201 también usa Brickstorm
|
El mismo malware es utilizado por múltiples clusters chinos
|
| UNC6201 desarrolló Grimbolt
|
Plenet es llamado Grimbolt por Google
|
| Ambos atacan VMware vSphere
|
Táctica consistente entre grupos
|
| Ambos evitan sistemas con EDR
|
Objetivo de appliances y dispositivos perimetrales
|
Opiniones de Expertos
"Volexity considera con alta probabilidad que esto se hizo para mimetizarse con el tráfico legítimo de la red y eludir las políticas de acceso condicional que, de otro modo, habrían impedido el acceso."
— Volexity (sobre el uso de VPN y credenciales robadas para acceder a M365)
"UNC6201 utiliza puertos de red virtuales temporales (aka 'Ghost NICs') para pivotar desde VMs comprometidas a entornos internos o SaaS, una técnica nueva que Mandiant no había observado antes en sus investigaciones."
— Mark Karayan, Gerente de Comunicaciones de Mandiant
"Volexity concluyó que este cortafuegos, al igual que el sistema Storage Sync de la organización víctima, también había sido comprometido al menos 18 meses antes."
— Volexity (sobre el firewall pfSense del MSP)
"Entre el 18 y el 23 de septiembre, todos los servidores que previamente coincidían con este patrón desactivaron sus servicios en el puerto 443. Por esas fechas, Google también publicó un nuevo informe sobre la actividad de Brickstorm, lo que podría sugerir que el atacante era consciente de que sus operaciones estaban siendo investigadas."
— Volexity (sobre el apagado de infraestructura C2)
"El grupo continúa atacando dispositivos que típicamente carecen de agentes EDR tradicionales para permanecer sin ser detectados por largos períodos. Consistente con la campaña anterior de Brickstorm, UNC6201 se enfoca en appliances que no tienen capacidades de detección y respuesta de endpoints."
— Mandiant
"Esta campaña demuestra una sofisticación operativa excepcional. No solo lograron persistencia durante 18 meses sin ser detectados, sino que también comprometieron al MSP de la víctima, utilizaron el MSP para acceder a la víctima, y cuando fueron expulsados, regresaron días después usando credenciales que nunca rotaron. El uso de Ghost NICs en VMware ESXi es una técnica que nunca había documentado antes — es un ejemplo de cómo los APT estatales están desarrollando métodos de evasión específicos para entornos virtualizados que la mayoría de las soluciones de seguridad no monitorean."
— Fernando Vargas (CiberAnalyst)
Referencias y Fuentes
- Toulas, B. (2026, 5 de junio). Chinese APT group deploys new malware to maintain access to hacked networks. BleepingComputer.
- Volexity. (2025-2026). *Incident Response Report: UNC5221/ VerdantBamboo Compromise*.
- CISA/NSA/Cyber Centre Canada. (2025, 4 de diciembre). Brickstorm Malware Analysis Report.
- Google Threat Intelligence Group (GTIG). (2025, septiembre). Brickstorm Campaign Report.
- Gatlan, S. (2025, 4 de diciembre). CISA warns of Chinese "BrickStorm" malware attacks on VMware servers. BleepingComputer.
- Gatlan, S. (2026, 17 de febrero). *Chinese hackers exploiting Dell zero-day flaw since mid-2024*. BleepingComputer.
- CrowdStrike. (2025). Warp Panda: Brickstorm Malware Attacks on VMware vCenter.
- Mandiant. (2024, abril). First documentation of Brickstorm backdoor.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-06-11
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en informes de BleepingComputer, Volexity, CISA, NSA, Mandiant, Google, CrowdStrike
|
Indicadores de Compromiso (IOCs)
Malware Brickstorm - Características de detección
| Característica
|
Valor
|
| Comunicación
|
WebSocket sobre HTTPS (puerto 443)
|
| DNS
|
DNS-over-HTTPS (DoH)
|
| Proxy
|
SOCKS5 integrado
|
| Persistencia
|
Auto-monitoreo + reinstalación
|
| Lenguajes
|
Golang, Rust, (BSD para pfSense)
|
Malware Plenet / Grimbolt - Características de detección
| Característica
|
Valor
|
| Lenguaje
|
.NET (C#)
|
| Comunicación
|
WebSocket
|
| Multiplexación
|
Envío simultáneo de flujos de datos
|
| Capacidades
|
Acceso consola, ejecución remota, manipulación archivos, cambio de C2
|
Malware AgentPSD - Características de detección
| Característica
|
Valor
|
| Lenguaje
|
Python
|
| Propósito
|
Shell inversa
|
| Estado
|
Desplegado pero nunca utilizado
|
Técnicas novedosas
| Técnica
|
Descripción
|
| Ghost NICs
|
Interfaces de red virtuales temporales en VMware ESXi (nunca antes documentada)
|
| Rogue VMs
|
Máquinas virtuales ocultas en vSphere
|
| Nested TLS
|
Múltiples capas de cifrado (HTTPS + WebSockets + TLS adicional)
|
Reglas de detección (CISA)
CISA ha publicado reglas YARA y Sigma específicas para Brickstorm. Se recomienda consultar el informe conjunto CISA/NSA/Cyber Centre Canada para obtenerlas.
Hashes específicos
Para hashes actualizados de Brickstorm, Plenet y AgentPSD, consultar:
- El informe de Volexity (publicación de IoCs)
- El repositorio de CISA/NSA
- Los feeds de inteligencia de amenazas de Google/Mandiant
Comportamiento anómalo a monitorear
| Comportamiento
|
Dónde buscar
|
| Tráfico WebSocket a IPs no estándar
|
Logs de firewall/proxy
|
| DNS-over-HTTPS no autorizado
|
Logs de DNS, monitoreo de red
|
| Interfaces de red temporales en ESXi
|
Logs de vCenter, configuración de red
|
| VMs ocultas/rogue
|
Inventario de VMware vSphere
|
| Acceso a M365 desde IPs sospechosas
|
Logs de Azure AD / Microsoft 365
|
| Actividad de credenciales en sistemas Egnyte
|
Logs de Egnyte Storage Sync
|
| Modificaciones en firewalls pfSense
|
Logs de pfSense, cambios de configuración
|
| Tráfico C2 saliente en puerto 443 con patrones específicos
|
Inspección profunda de paquetes (DPI)
|
Preguntas sin respuesta
| Pregunta
|
Estado
|
| ¿El mismo grupo opera como UNC5221, VerdantBamboo y Warp Panda?
|
Alta probabilidad, pero no confirmado oficialmente
|
| ¿Cuántas organizaciones fueron comprometidas a través del MSP?
|
No especificado
|
| ¿Las credenciales robadas del MSP fueron rotadas después del informe?
|
No especificado
|
| ¿El grupo ha re-emergido con nueva infraestructura después de septiembre 2025?
|
Probable, pero no documentado públicamente
|
| ¿Plenet/Grimbolt es un reemplazo completo de Brickstorm o una variante?
|
No claro (posible actualización planificada o reacción a detección)
|
Etiquetas / Categorías
text
unc5221 verdantbamboo warp-panda chinese-apt brickstorm-grimbolt plenet-agentpsd volexity-cisa mandiant google-threat-intelligence microsoft-365-compromise msp-compromise vmware-vsphere-persistence ghost-nics esxi-stealth dell-recoverpoint-zero-day cve-2026-22769 prolonged-persistence 18-month-residency nation-state-espionage
