Gli Stati Uniti e il Canada hanno reso pubblico il 5 dicembre 2025 un advisory congiunto sul malware BRICKSTORM, attribuito ad attori sponsorizzati dallo stato cinese. La CISA ha analizzato otto campioni raccolti da organizzazioni vittime, documentando un'architettura di persistenza avanzata e accessi mantenuti per oltre un anno e mezzo in almeno un caso documentato. L'operazione segna un'escalation nella strategia delle minacce cinesi contro infrastrutture critiche nordamericane.
- CISA, NSA e Canadian Centre for Cyber Security hanno firmato un advisory congiunto su BRICKSTORM, malware distribuito da attori sponsorizzati dallo stato cinese contro organizzazioni governative e del settore IT.
- La CISA ha analizzato otto campioni BRICKSTORM ottenuti da organizzazioni vittime, inclusa un'organizzazione con incident response CISA.
- In un caso documentato, gli attacker hanno mantenuto accesso persistente da aprile 2024 al 3 settembre 2025: oltre 17 mesi di persistenza.
- Il malware è stato distribuito contro VMware vSphere, prodotto di Broadcom per gestione macchine virtuali, indicando una strategia di compromissione a livello hypervisor.
Da Volt Typhoon a BRICKSTORM: la nuova fase del pre-posizionamento
L'advisory congiunto colloca BRICKSTORM in una linea evolutiva già tracciata da Volt Typhoon, l'operazione cinese di pre-posizionamento in infrastrutture critiche statunitensi rivelata nel 2023. La differenza qualitativa sta nella capacità operativa documentata: mentre Volt Typhoon mirava all'infiltrazione silenziosa e alla preparazione di accessi futuri, BRICKSTORM integra meccanismi di auto-ripristino che ne rendono la persistenza attivamente resistente alla rimozione.
La dichiarazione di Madhu Gottumukkala, acting director CISA, fissa il quadro strategico con precisione. Il malware non serve solo all'espionaggio: il suo scopo è "embedding themselves to enable long-term access, disruption, and potential sabotage". La parola "potential" è voluta: sabotaggio non ancora eseguito, ma capacità costruita per essere attivata. Questo schema, noto nella dottrina militare come preparation of the environment, trasforma ogni compromissione in una minaccia latente di interruzione operativa.
L'architettura tecnica: persistenza che si auto-ripara
L'analisi CISA su otto campioni rivela un'architettura di controllo remoto sofisticata. BRICKSTORM nasconde le comunicazioni con i server di comando, esegue movimento laterale all'interno delle reti vittima, tunnelizza il traffico per aggirare i controlli di segmentazione, e dispone di meccanismi per reinstallarsi o riavviarsi automaticamente se interrotto. Questa capacità di auto-riparazione distingue il malware dai backdoor convenzionali: la persistenza non dipende da un singolo punto di appoggio, ma da una logica di sopravvivenza distribuita.
Il targeting di VMware vSphere amplifica il problema. Compromettere l'hypervisor significa ottenere visibilità e controllo sull'intero stack virtualizzato, con potenziale accesso a multiple macchine virtuali indipendentemente dalla loro segmentazione logica. Il dossier non specifica se l'accesso vSphere sia stato ottenuto tramite exploit di vulnerabilità nota, configurazione debole, o altro vettore: questo limite rende impossibile, allo stato attuale, definire un perimetro di esposizione preciso.
"embedding themselves to enable long-term access, disruption, and potential sabotage"
— Madhu Gottumukkala, acting director CISA
Una timeline di 17 mesi e i confini del silenzio ufficiale
Il caso con maggiore dettaglio temporale mostra gli attacker penetrare un'organizzazione in aprile 2024 e mantenere accesso continuativo fino al 3 settembre 2025. Oltre 17 mesi di presenza non rilevata, o rilevata ma non espulsa. Questa durata solleva questioni sulla efficacia dei controlli di rilevazione in ambienti virtualizzati, dove la visibilità dello strato hypervisor è tipicamente più limitata rispetto agli endpoint fisici.
La CISA, attraverso Nick Andersen, Executive Assistant Director, ha rifiutato di divulgare il numero totale di organizzazioni governative targettate e i dettagli delle azioni post-penetrazione. Questo silenzio operativo è coerente con le pratiche standard in investigazioni in corso, ma lascia senza risposta domande critiche: quante infrastrutture sono attualmente compromesse, quali settori oltre governo e IT sono coinvolti, e se BRICKSTORM rappresenti un'operazione singola o una piattaforma distribuita a più attori.
Perché è importante
Il dossier pubblicato dalla CISA presenta lacune significative per chi debba tradurre l'allerta in azione concreta. La fonte non specifica il vettore di ingresso iniziale per BRICKSTORM: exploit di VMware vSphere, credenziali compromesse, o altro vettore rimane non dichiarato. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a un gruppo APT cinese precedentemente identificato.
La CISA non ha quantificato il numero totale di vittime, né ha dettagliato le azioni eseguite dagli attacker durante i 17 mesi di accesso. L'entità geografica esatta delle vittime oltre a "US and Canada" non è precisata. L'advisory non associa BRICKSTORM a vulnerabilità CVE specifiche, rendendo impossibile prioritizzare patch su base identificativa.
Ciò che resta documentato è sufficiente a elevare il rischio: la combinazione di persistenza auto-riparante, targeting hypervisor, e dichiarata capacità di sabotaggio potenziale sposta la minaccia cinese da raccolta intelligence a preparazione di effetti operativi. Le organizzazioni con infrastrutture VMware vSphere nei settori governativo e IT dispongono di indicatori di compromissione pubblicati, ma la detection efficace richiede visibilità sullo strato hypervisor che molte architetture di sicurezza non coprono sistematicamente.
Domande aperte sulla risposta collettiva
L'advisory congiunto CISA-NSA-Canadian Centre, pur nella sua gravità, non chiarisce se le tre agenzie dispongano di intelligence su comandi di attivazione o su timeline operative degli attori. La dichiarazione di Gottumukkala parla di "potential sabotage", non di sabotaggio imminente: questa calibrazione linguistica, se riflette valutazione intelligence, suggerisce che la finestra di pre-posizionamento sia ancora aperta. Se invece riflette solo prudenza comunicativa, il divario tra allerta pubblica e informazione classificata rimane non misurabile.
La pubblicazione di YARA rules e SIGMA rules da parte CISA offre un canale di detection, ma la loro efficacia dipende dalla capacità di acquisire memoria e log dallo strato hypervisor vSphere, operativamente complesso in molte organizzazioni. Il dossier non documenta se queste rules siano già state validate in ambienti di produzione o se la loro distribuzione abbia prodotto detection aggiuntive.
Il caso BRICKSTORM, infine, ripropone una tensione strutturale nella cyber deterrence: l'attribuzione pubblica a "stato cinese" senza identificazione di gruppo specifico, la documentazione di capacità offensive avanzate, e la simultanea reticenza su dettagli operativi, creano un segnale ambiguo. Gli attori targettati ricevono un'allerta tecnica; l'attributo riceve una conferma di esposizione senza costi immediati. Se questo schema costituisce deterrenza sufficiente, o se invece normalizza il pre-posizionamento come accettabile sotto la soglia di risposta, è una domanda che l'advisory non risolve.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://it.slashdot.org/story/25/12/05/2135231/chinese-linked-hackers-use-backdoor-for-potential-sabotage-us-and-canada-say
- https://www.cisa.gov/news-events/news/cisa-nsa-and-cyber-centre-warn-critical-infrastructure-brickstorm-malware-used-peoples-republic
- https://slashdot.org/
- https://slashdot.org/recent
- https://slashdot.org/popular
- https://slashdot.org/polls