Китайские хакеры 18 месяцев сидели в Microsoft 365 незамеченными

Около полутора лет группа связанных с государством китайских хакеров читала рабочую почту, открывала внутренние файлы и перемещалась по корпоративным сетям, выглядя для любого средства мониторинга как обычный сотрудник, заходящий в систему на работу. Вторжение, описанное компанией по безопасности Volexity, не взломало Microsoft 365. Оно выдало себя за тех, у кого ключи уже были.

Именно это различие и есть вся суть, и оно объясняет, почему утечка касается каждого, чья работа проходит внутри облачного аккаунта. Microsoft 365 сегодня — это место, где большинство компаний держат почту, документы и единый вход, который открывает всё остальное. Атакующим ни разу не пришлось побеждать эту систему. Они одолжили действительный вход и зашли через парадную дверь, а защита, призванная спросить «это действительно вы?», решила, что да.

Группа отслеживается как UNC5221, известная также как VerdantBamboo, операция с китайскими корнями, за которой исследователи следят уже годы, потому что она атакует устройства на краю корпоративных сетей. Её недавняя кампания ударила по юридическим фирмам, разработчикам ПО, поставщикам аутсорсинга процессов и технологическим компаниям. Это не случайные цели: это организации, которые хранят секреты других организаций — от дел клиентов до исходного кода и ключей, ведущих к нижестоящим заказчикам.

Арсенал объясняет, почему доступ так долго оставался невидимым. Центральный элемент — бэкдор под названием Brickstorm, написанный сначала на языке Go, а позже переписанный на Rust, установленный на сетевых устройствах, которые почти никогда не запускают защитное ПО и почти никогда не проверяются. В одном случае атакующие проникли через систему синхронизации файлов Egnyte, доступную по корпоративному VPN. С этого тихого плацдарма встроенная функция прокси в Brickstorm позволила пропускать их активность через собственную сеть жертвы, так что, добравшись до Microsoft 365 с украденными учётными данными, соединение выглядело локальным и законным. Volexity с высокой уверенностью считает, что это было сделано намеренно — способ слиться с обычным трафиком и обойти правила условного доступа, которые иначе пометили бы вход не из того места. Ещё две детали держали дверь открытой: бэкдор на .NET, названный исследователями Plenet, дававший операторам интерактивную консоль и контроль над файлами, и обратная оболочка на Python под названием AgentPSD, оставленная в запасе. Избыточность и была замыслом. Всё это строилось, чтобы пережить обнаружение, а не чтобы избегать его вечно.

Самая неприятная деталь — арифметика времени. Обнаружение пришло примерно через восемнадцать месяцев после первого проникновения. В кампаниях такого рода следователи измерили среднее время присутствия заметно больше года — достаточно долго, чтобы во многих случаях журналы, фиксировавшие первоначальный взлом, уже были удалены по обычным правилам хранения, прежде чем кто-либо понял, что надо смотреть. Атакующие не просто прятались: они пережили улики.

Охват вышел за пределы первой жертвы. По меньшей мере в одном случае группа скомпрометировала поставщика управляемых услуг — внешнюю ИТ-компанию, которая обслуживает технику десятков более мелких клиентов, — и установила версию Brickstorm на его межсетевом экране. Одно проникновение там превращается в универсальный ключ к каждому клиенту за ним. Это та часть истории, что выходит за пределы Соединённых Штатов, где сосредоточено большинство известных целей. Любая компания, которая отдаёт ИТ на аутсорсинг, то есть почти каждая, наследует безопасность поставщика, внутрь которого не может заглянуть.

Ничего из этого не является изъяном Microsoft 365, который закроет патч. Точками входа были устройства сторонних поставщиков и украденные учётные данные, а облако повело себя ровно так, как задумано, как только пришёл доверенный вход. Это и есть трудная задача, которую оставляет раскрытие. Организации без ПО обнаружения на серверах и устройствах почти не имели шансов увидеть активность, и даже те, у кого оно было, столкнулись с операцией, спроектированной выглядеть как обычная работа. Поскольку это был шпионаж, а не программа-вымогатель, не было ни заблокированного экрана, ни записки с требованием выкупа, которые заставили бы поднять тревогу, — лишь данные, тихо утекавшие столько, сколько операторы хотели продолжать наблюдать.

Взломы стали известны примерно в марте 2025 года, и с тех пор предупреждений стало больше. С августа 2025 по январь 2026 года ФБР, АНБ и американское агентство по кибербезопасности CISA выпустили серию предупреждений о вторжениях, спонсируемых китайским государством, а CISA отдельно отметила применение Brickstorm против серверов VMware. Практический совет следователей узок и непригляден: хранить журналы дольше, чем атакующие способны прятаться, и поставить обнаружение на тихих устройствах на краю сети — именно там, где, как выясняется, призраки предпочитают жить.

Теги: кибербезопасность