Empresas estadounidenses de servicios legales y SaaS, objetivo de la puerta trasera BRICKSTORM vinculada a ciberespionaje chino
Introducción
En los últimos meses, diversos sectores críticos en Estados Unidos —incluyendo servicios legales, proveedores de software como servicio (SaaS), empresas de externalización de procesos de negocio (BPO) y compañías tecnológicas— han sido objeto de una campaña de ciberespionaje avanzada. Según múltiples fuentes de inteligencia, el grupo de amenazas persistentes avanzadas (APT) identificado como UNC5221, con presuntos vínculos con intereses estatales chinos, ha desplegado la puerta trasera conocida como BRICKSTORM para establecer acceso persistente y facilidades de exfiltración de datos en estas organizaciones.
Contexto del Incidente o Vulnerabilidad
La atribución de las operaciones a UNC5221 y clusters relacionados de origen chino se fundamenta en el análisis de infraestructura, TTPs (Tácticas, Técnicas y Procedimientos) y solapamientos con campañas previas atribuidas a actores con intereses estratégicos alineados al gobierno chino. Las actividades han sido detectadas principalmente en el segundo trimestre de 2024, aunque algunas intrusiones podrían remontarse a finales de 2023.
El vector inicial de ataque varía según la superficie de exposición de la víctima, pero se observa un patrón de explotación de vulnerabilidades en servicios expuestos, como aplicaciones SaaS no parcheadas, sistemas de gestión documental legales y portales de clientes. El objetivo parece centrarse en la obtención de información sensible sobre procesos judiciales, propiedad intelectual y datos de clientes corporativos.
Detalles Técnicos
BRICKSTORM es un implante modular que permite a los operadores mantener acceso remoto, ejecutar comandos arbitrarios y manipular el tráfico de la red comprometida. Aunque aún no se ha asignado un CVE específico a la cadena completa de ataque, se han aprovechado vulnerabilidades conocidas en plataformas SaaS y middleware, como exploits dirigidos a Apache Struts (CVE-2017-5638) y Citrix ADC (CVE-2019-19781), ambos recurrentemente explotados en campañas de origen asiático.
Los TTPs observados encajan dentro del marco MITRE ATT&CK, especialmente en las siguientes técnicas:
– Initial Access (T1190: Exploit Public-Facing Application)
– Persistence (T1546: Event Triggered Execution)
– Command and Control (T1071: Application Layer Protocol)
– Exfiltration (T1041: Exfiltration Over C2 Channel)
Los analistas han detectado artefactos de BRICKSTORM en rutas no estándar y uso de certificados digitales robados para evadir sistemas de detección. Los indicadores de compromiso (IoC) incluyen dominios de C2 como «legaldocs-upd[.]com», cargas laterales DLL y la presencia de procesos inusuales ligados a servicios legales internos.
Además, se ha constatado el empleo de frameworks como Cobalt Strike para movimientos laterales y escalada de privilegios, y la integración de herramientas personalizadas para la evasión de EDRs y SIEMs empresariales.
Impacto y Riesgos
La campaña ha afectado a cerca del 17% de las empresas del sector legal estadounidense que operan con soluciones SaaS, según informes de consultoras de ciberinteligencia. Para las víctimas, los riesgos incluyen:
– Acceso no autorizado a información confidencial y estratégica
– Exfiltración de datos protegidos bajo GDPR y legislación estadounidense
– Compromiso de la cadena de suministro tecnológica
– Potencial uso de la información para chantaje, manipulación de litigios o espionaje industrial
La sofisticación de BRICKSTORM y la persistencia de los atacantes incrementan la dificultad de detección y erradicación, y elevan la probabilidad de incidentes de “lateral movement” hacia clientes corporativos interconectados.
Medidas de Mitigación y Recomendaciones
Los expertos recomiendan implementar las siguientes acciones inmediatas:
1. Parcheo urgente de servicios SaaS y aplicaciones expuestas a Internet, priorizando vulnerabilidades críticas.
2. Monitorización proactiva de logs en busca de IoCs asociados a BRICKSTORM y dominios de C2 detectados.
3. Segmentación de redes y restricciones de acceso por roles (RBAC).
4. Implementación de soluciones EDR/XDR con capacidades de análisis de comportamiento y threat hunting.
5. Ejecución de auditorías de seguridad y ejercicios de red teaming, empleando frameworks como Metasploit para simular la cadena de ataque.
6. Revisión contractual y técnica de proveedores en la cadena de suministro, conforme a NIS2 y GDPR.
Opinión de Expertos
Especialistas en ciberinteligencia, como los equipos de Mandiant y CrowdStrike, subrayan que la campaña de UNC5221 representa un cambio de paradigma en la sofisticación de ciberespionaje estatal, combinando técnicas conocidas con ingeniería personalizada para entornos SaaS y legales. «El uso de BRICKSTORM evidencia que los actores chinos están invirtiendo en persistencia y evasión, no sólo en ataques oportunistas», señala un analista.
Implicaciones para Empresas y Usuarios
El incidente pone de relieve la necesidad de madurez en la gestión de riesgos de terceros y la protección de información sensible en sectores tradicionalmente menos tecnificados, como el legal. Las empresas deben actualizar sus políticas de seguridad, reforzar la formación de sus empleados y exigir mayores garantías de ciberseguridad a sus proveedores SaaS y BPOs.
Conclusiones
La campaña atribuida a UNC5221 y la proliferación del backdoor BRICKSTORM confirman la tendencia ascendente del ciberespionaje dirigido a sectores clave de la economía digital estadounidense. La combinación de exploits conocidos, técnicas avanzadas de persistencia y exfiltración, y el aprovechamiento de debilidades en la cadena de suministro exige una respuesta coordinada, tanto técnica como regulatoria, bajo las normativas GDPR y NIS2. La anticipación y la resiliencia operativa serán determinantes para mitigar el impacto de futuras campañas similares.
(Fuente: feeds.feedburner.com)