VerdantBamboo implanta variante BSD do BRICKSTORM em pfSense e expande arsenal com PLENET e AGENTPSD

Pesquisadores da Volexity divulgaram que o cluster de espionagem chinesa VerdantBamboo — sobreposto aos grupos Clay Typhoon (Microsoft), UNC5221 (Google) e Warp Panda (CrowdStrike) — passou a operar uma variante BSD do backdoor BRICKSTORM contra firewalls pfSense e appliances Linux, em conjunto com duas novas famílias de malware batizadas PLENET (também conhecida como GRIMBOLT) e AGENTPSD. A intrusão foi descoberta em setembro de 2025 e indica que o ator permaneceu dentro do ambiente da vítima por pelo menos 18 meses.

O que aconteceu

De acordo com relatório técnico assinado por Damien Cash, Paul Rascagneres, Steven Adair e Tom Lancaster, o vetor inicial foi um sistema Egnyte Storage Sync da vítima. O grupo explorou uma falha de elevação local de privilégios — corrigida somente na versão 13.13, lançada em março de 2026 — para implantar o BRICKSTORM no appliance e usar suas capacidades de proxy para mascarar o tráfego como legítimo e burlar políticas de Conditional Access do Microsoft 365.

O acesso recorrente partia de endereços IP atribuídos via SSL VPN corporativa, dificultando a detecção. Após a primeira contenção, o ator retornou usando credenciais administrativas roubadas, conectou-se ao firewall, configurou novo acesso SSL VPN e pivotou para outros sistemas, incluindo um appliance NAS Synology, onde implantou malware adicional.

Investigação posterior revelou que o real ponto de entrada foi o Managed Services Provider (MSP) da vítima. O VerdantBamboo infectou o firewall pfSense do MSP com a nova variante BSD de BRICKSTORM aproximadamente no mesmo período do comprometimento do Storage Sync, configurando um caso clássico de ataque de supply-chain via prestador de serviços.

Como o ataque funciona

BRICKSTORM já era conhecido como backdoor multifuncional escrito em Go, capaz de operar como proxy SOCKS e executar comandos em appliances de borda. A novidade é a variante compilada para FreeBSD, alvo do pfSense — o que indica engenharia reversa cuidadosa dos appliances e foco em equipamentos que tradicionalmente não rodam EDR. PLENET e AGENTPSD complementam o arsenal: enquanto AGENTPSD foi observado em NAS Synology, PLENET já havia sido reportado pelo Google em fevereiro como parte das operações do cluster UNC6201, que explorou como zero-day a CVE-2026-22769 (CVSS 10.0) no Dell RecoverPoint for Virtual Machines desde meados de 2024.

“O VerdantBamboo é um ator de ameaça altamente sofisticado que combina técnicas de living-off-the-land com a implantação de malware em sistemas que tradicionalmente não rodam EDR. O grupo aparenta conhecer profundamente os appliances proprietários, permitindo persistência customizada por dispositivo.” — Equipe Volexity

Quem é afetado

O caso documentado afeta diretamente organizações que utilizam Egnyte Storage Sync em versões anteriores à 13.13, mas o impacto mais amplo recai sobre qualquer empresa que dependa de appliances de borda — firewalls, gateways VPN, NAS, dispositivos de orquestração — administrados por terceiros. Pontos críticos identificados pela Volexity:

Empresas que terceirizam administração de firewall e VPN para MSPs sem segregação de credenciais privilegiadas
Ambientes com appliances Synology, pfSense ou outras soluções BSD/Linux sem telemetria EDR
Organizações com integrações Microsoft 365 acessíveis via Conditional Access dependente de endereço IP de origem
Setores tradicionalmente alvo de espionagem chinesa: defesa, manufatura avançada, telecom, ONGs ligadas a direitos humanos e think tanks

Análise

A campanha do VerdantBamboo confirma uma tendência consolidada nos últimos 18 meses: clusters chineses migraram do foco em endpoints Windows para appliances de borda como zona prioritária. A motivação é dupla. Primeiro, esses dispositivos quase nunca rodam EDR — não há agentes Mandiant, CrowdStrike ou SentinelOne em pfSense, Synology ou orquestradores de armazenamento. Segundo, eles ficam permanentemente expostos à internet e concentram credenciais privilegiadas. O mesmo padrão apareceu em campanhas anteriores envolvendo Salt Typhoon contra appliances Cisco, Volt Typhoon contra Fortinet e SOHO routers, e UNC5337/UNC5221 contra Ivanti Connect Secure.

A escolha do BRICKSTORM como ferramenta-base também não é acidental. O backdoor foi originalmente atribuído pela Mandiant a operações contra a SolarWinds em 2024, e sua portabilidade para BSD demonstra investimento em engenharia voltada para a longa cauda de appliances exóticos. O comprometimento via MSP, por sua vez, é uma reedição da estratégia que tornou supply-chain o vetor preferido de operações estatais desde NotPetya — agora aplicada não a builds de software, mas a credenciais administrativas de terceirizados.

Para o Brasil, onde o uso de MSPs é dominante no segmento de médio porte e onde appliances Synology têm presença significativa em escritórios de advocacia, contábeis e clínicas, a campanha serve de alerta concreto. Operações de espionagem chinesas já documentadas pelo CERT.br no passado costumam adotar o mesmo playbook regional 6 a 12 meses após sua aparição nos relatórios ocidentais.

Recomendações práticas

Atualizar Egnyte Storage Sync para 13.13 ou superior imediatamente; revisar logs históricos do appliance buscando execução de processos não usuais a partir do usuário associado ao Storage Sync
Aplicar os indicadores de comprometimento (IOCs) publicados pela Volexity em SIEMs e NDRs, com foco em conexões SOCKS suspeitas saindo de firewalls e NAS
Inventariar todos os appliances de borda — pfSense, OPNsense, Synology, QNAP, Fortinet, Ivanti — e exigir do MSP atestado de versão atualizada e MFA obrigatório para acesso administrativo
Segregar credenciais administrativas do MSP em vault dedicado e habilitar gravação de sessão para qualquer acesso privilegiado vindo de prestador
Configurar Conditional Access do Microsoft 365 com sinais que vão além de IP — risco de sessão, integridade do dispositivo e localização nomeada — para reduzir o ganho do tráfego em proxy
Monitorar SSH para appliances internos e bloquear acesso lateral entre dispositivos de borda sempre que não houver justificativa operacional
Para organizações com contrato de MSP, formalizar exercício de threat hunting trimestral incluindo o ambiente do prestador, não apenas o ambiente próprio

Fonte: The Hacker News