仮想環境を狙うマルウェア「BRICKSTORM」 - 中国政府系攻撃者が悪用

ドメインコントローラーや「ADFS」を侵害して暗号鍵を取得。コマンド＆コントロールサーバとの通信には、「HTTPS」や「WebSocket」にくわえて、「TLS」を用いて多層的な暗号化を行っていた。

また「DNS over HTTPS（DoH）」を用いて、ウェブサーバの挙動を模倣し、通信を正規のトラフィックと混在させて不正な通信を隠蔽しようとしていた。

同マルウェアは「SOCKSプロクシ」としても動作し、被害組織のネットワークにおけるラテラルムーブメントやトンネリングなどを容易にしていた。

さらにアクセスが中断された場合、マルウェアを自動的に再インストールしたり、再起動して継続的に稼働するような監視機能を実装。長期間にわたり潜伏できるよう設計されていた。スナップショットを窃取したり、仮想マシンを作成するケースも見られたという。

今回のアラートでは、「IoC（Indicators of Compromise）」や「YARA」「Sigma」のルールを提供。組織内におけるマルウェアの検出や、侵害の痕跡がないか確認するよう呼びかけている。

「DoH」の制御や「DMZ」や内部セグメント、サービスアカウントにおける監視の強化のほか、仮想環境におけるソフトウェアを最新の状態に保ち、保護することなども呼びかけている。

（Security NEXT - 2025/12/05 ）ツイート