La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha publicado un informe de análisis de malware sobre BRICKSTORM, una puerta trasera sofisticada vinculada a operaciones cibernéticas patrocinadas por el estado chino. Publicado en diciembre de 2025 y actualizado hasta enero de 2026, el informe identifica esta amenaza dirigida a plataformas VMware vSphere, específicamente a servidores vCenter y entornos ESXi. Organizaciones en los sectores de servicios gubernamentales y tecnología de la información

La Agencia de Seguridad de Ciberseguridad e Infraestructura (CISA) ha publicado un informe de análisis de malware sobre BRICKSTORM, una puerta trasera sofisticada vinculada a operaciones cibernéticas patrocinadas por el Estado chino. Publicado en diciembre de 2025 y actualizado hasta enero de 2026, el informe identifica esta amenaza que apunta a plataformas VMware vSphere, específicamente servidores vCenter y entornos ESXi. Las organizaciones en los sectores de servicios gubernamentales y tecnología de la información enfrentan el mayor riesgo por estos ataques. BRICKSTORM representa una amenaza grave porque permite a los atacantes mantener acceso a largo plazo a sistemas comprometidos sin ser detectados. El malware afecta principalmente a entornos virtualizados, donde puede permanecer oculto mientras los actores de amenazas roban datos sensibles, clonan máquinas virtuales y se mueven lateralmente a través de redes. Una vez instalado, BRICKSTORM opera silenciosamente en segundo plano, reinstalándose automáticamente si es eliminado. El informe examina once muestras de malware descubiertas en organizaciones víctimas. Ocho muestras fueron construidas usando el lenguaje de programación Go, mientras que tres variantes más recientes utilizan Rust. 

Analistas de CISA identificaron BRICKSTORM durante una investigación de respuesta a incidentes en la que los actores de amenazas mantuvieron acceso persistente a una organización víctima desde abril de 2024 hasta septiembre de 2025. Durante este compromiso, los atacantes accedieron a controladores de dominio y comprometieron un servidor de Servicios de Federación de Active Directory para exportar claves criptográficas.

Mecanismos de infección y persistencia

BRICKSTORM obtiene acceso inicial a través de servidores web comprometidos ubicados en zonas desmilitarizadas. Los atacantes suben el malware a servidores VMware vCenter después de moverse lateralmente a través de redes utilizando credenciales de cuentas de servicio robadas y conexiones de Protocolo de Escritorio Remoto. El malware se instala en directorios del sistema como /etc/sysconfig/ y modifica scripts de inicialización para ejecutarse durante el arranque del sistema. La puerta trasera mantiene persistencia a través de capacidades de autovigilancia integradas que verifican continuamente si BRICKSTORM sigue activo. Si el malware detecta que ha dejado de ejecutarse, se reinstala y reinicia automáticamente desde rutas de archivo predefinidas. Este mecanismo de autocuración garantiza que los atacantes mantengan el acceso incluso si los equipos de seguridad intentan eliminarlo. BRICKSTORM establece conexiones cifradas con servidores de comando y control utilizando DNS sobre HTTPS a través de resolutores públicos legítimos de Cloudflare, Google y Quad9. Esta técnica oculta el tráfico malicioso dentro de comunicaciones cifradas normales. El malware actualiza las conexiones HTTPS iniciales a sesiones seguras de WebSocket con múltiples capas de cifrado anidadas. A través de estas conexiones, los atacantes obtienen acceso interactivo a la línea de comandos, exploran sistemas de archivos, suben y descargan archivos, y establecen proxies SOCKS para movimiento lateral. Para apoyar los esfuerzos de detección y eliminación, CISA ha publicado seis reglas YARA y una regla Sigma diseñadas específicamente para identificar muestras de BRICKSTORM. Estas firmas de detección apuntan a patrones de código únicos y características de comportamiento encontradas en diferentes variantes del malware. CISA insta a las organizaciones a reportar inmediatamente cualquier detección de BRICKSTORM y aplicar mitigaciones recomendadas, incluyendo la actualización de servidores VMware vSphere, implementar segmentación de red y bloquear proveedores no autorizados de DNS sobre HTTPS. Además, el movimiento lateral muestra la progresión de los actores cibernéticos patrocinados por el Estado chino desde el servidor web a través de controladores de dominio hasta el servidor VMware vCenter. 

Fuentes:
https://cybersecuritynews.com/cisa-releases-brickstorm-malware-report/