Margine della rete, margine della fiducia: BRICKSTORM trasforma un firewall in un punto d'appoggio
Una compromissione di pfSense segnalata mostra come un dispositivo perimetrale possa diventare un punto di persistenza silenzioso quando gli aggressori prendono di mira infrastrutture che i team di sicurezza non osservano come una workstation.
La parte più scomoda di questo caso non è che sia stato preso di mira un firewall. È che il firewall si trovava nel punto in cui i difensori si aspettano che inizi la fiducia. Nell'incidente segnalato, VerdantBamboo ha compromesso un dispositivo pfSense e ha distribuito una variante FreeBSD della backdoor BRICKSTORM, creando un accesso di lungo termine all'interno della rete di un provider di servizi gestiti. Questa combinazione conta perché pfSense è una piattaforma edge basata su FreeBSD e i dispositivi di bordo spesso si collocano al di fuori del modello di telemetria per cui sono stati costruiti gli strumenti endpoint.
A livello tecnico, la storia riguarda meno un singolo dispositivo infetto e più la stessa soglia di fiducia. Un appliance perimetrale vede il traffico interno ed esterno, gestisce sessioni amministrative e può trovarsi in una posizione operativamente sensibile anche quando non è monitorato in modo intenso. Se un aggressore vi ottiene un punto d'appoggio, il dispositivo può diventare un luogo duraturo in cui nascondersi, osservare e muoversi con meno rumore rispetto a un endpoint utente.
Fatti rapidi
- Si riporta che VerdantBamboo abbia compromesso un firewall pfSense.
- Su quel dispositivo è stata distribuita una variante FreeBSD di BRICKSTORM.
- L'intrusione ha fornito accesso di lungo termine all'interno dell'ambiente di rete di un provider di servizi gestiti.
- L'attività è stata identificata durante un'indagine di risposta agli incidenti da parte di Volexity.
- Il caso è stato collegato a una campagna più ampia rivolta a dispositivi edge e sistemi con monitoraggio di sicurezza limitato.
Perché il firewall era importante
pfSense è ampiamente utilizzato come piattaforma firewall, router e VPN sul margine della rete. Questo lo rende utile agli amministratori, ma anche attraente per gli intrusi che vogliono un punto che si confonda con le normali operazioni. In questo caso, l'implant BRICKSTORM è notevole perché è stato descritto come compatibile con l'ambiente pfSense basato su FreeBSD, il che significa che il malware ha dovuto adattarsi al contesto operativo del dispositivo piuttosto che a un normale target desktop o server.
Dal punto di vista difensivo, la compromissione di un appliance è pericolosa perché i vuoti di visibilità sono comuni. I log possono essere più scarsi rispetto ai server, gli agenti possono mancare e si può dare per scontato che l'accesso di gestione sia sicuro. La lezione più ampia non è che ogni firewall sia già compromesso. È che i sistemi edge possono diventare punti di controllo silenziosi se le organizzazioni li trattano come infrastruttura invece che come asset di sicurezza.
Per i provider di servizi gestiti, questo rischio può essere amplificato dalle relazioni di fiducia. Le informazioni pubbliche non stabiliscono l'impatto completo a valle di questo caso e non provano che tutti i sistemi collegati siano stati interessati. Anche così, un punto d'appoggio su un appliance collegato a un MSP può aumentare la preoccupazione perché quel dispositivo può trovarsi vicino a percorsi di amministrazione privilegiata.
Le informazioni disponibili supportano un'analisi del rischio, non un'affermazione definitiva di takeover completo della rete o di furto di dati. Ciò che supportano, però, è uno schema familiare: gli aggressori preferiscono il punto che i difensori sorvegliano meno attentamente, poi cercano di restare abbastanza a lungo da fare la differenza.
Conclusione
La lezione qui è semplice ma facile da perdere: il margine non è un confine, è un bersaglio. Quando un firewall diventa il luogo in cui ci si nasconde, il vero problema non è più un singolo appliance - è il modello di visibilità che lo circonda. I team di sicurezza che vogliono ridurre il tempo di permanenza degli aggressori devono inventariare, registrare e verificare i propri dispositivi perimetrali con la stessa serietà che già applicano a endpoint e server.
TECHCROOK
hardware firewall appliance: Un appliance firewall dedicato mantiene routing, VPN e controlli perimetrali in un unico dispositivo e può essere più facile da isolare, sottoporre a backup e sostituire rispetto a un server generico. Non garantisce l'immunità alla compromissione, ma può adattarsi a una configurazione di sicurezza perimetrale più rigorosa se abbinato a logging, patching e controlli di accesso.
WIKICROOK
- pfSense: Una piattaforma firewall e router basata su FreeBSD usata per proteggere i margini di rete.
- BRICKSTORM: Una backdoor descritta in questo caso come una variante FreeBSD distribuita su un firewall pfSense.
- FreeBSD: Un sistema operativo di tipo Unix spesso usato come base per server e appliance.
- Managed Service Provider: Un'organizzazione che gestisce sistemi IT o servizi di rete per i clienti.
- Edge device: Hardware che si trova al confine tra una rete interna e Internet.
