Hackers chineses passaram 18 meses dentro do Microsoft 365 sem serem detetados

Durante cerca de ano e meio, um grupo de hackers chineses ligados a um Estado leu correio empresarial, abriu ficheiros internos e circulou por redes de empresas parecendo, para qualquer ferramenta de monitorização, apenas mais um funcionário a entrar para trabalhar. A intrusão, detalhada pela empresa de segurança Volexity, não quebrou o Microsoft 365. Fez-se passar por quem já tinha as chaves.

Essa distinção é a história toda, e explica porque a falha afeta qualquer pessoa cujo trabalho vive dentro de uma conta na nuvem. O Microsoft 365 é onde a maioria das empresas guarda hoje o correio, os documentos e a identidade de início de sessão único que abre tudo o resto. Os atacantes nunca tiveram de derrotar esse sistema. Pediram emprestado um acesso válido e entraram pela porta da frente, e as defesas pensadas para perguntar “é mesmo você?” decidiram que sim.

O grupo é seguido como UNC5221, também conhecido como VerdantBamboo, uma operação de origem chinesa que os investigadores acompanham há anos por atacar os dispositivos na periferia das redes empresariais. A sua campanha recente atingiu sociedades de serviços jurídicos, empresas de software, prestadoras de externalização de processos e fornecedoras de tecnologia. Não são alvos ao acaso: são organizações que guardam segredos de outras organizações, de processos de clientes a código-fonte e às chaves que chegam a terceiros.

O arsenal explica porque o acesso ficou invisível tanto tempo. A peça central é uma backdoor chamada Brickstorm, escrita primeiro na linguagem Go e depois reconstruída em Rust, instalada em equipamentos de rede que quase nunca executam software de segurança nem são inspecionados. Num caso os atacantes entraram por um sistema de sincronização de ficheiros Egnyte acessível pela VPN da empresa. A partir desse ponto silencioso, a função de proxy do Brickstorm permitiu encaminhar a atividade pela própria rede da vítima, de modo que, ao chegar ao Microsoft 365 com credenciais roubadas, a ligação parecia local e legítima. A Volexity considera com elevada confiança que foi deliberado, uma forma de se misturar no tráfego normal e contornar as regras de acesso condicional que teriam assinalado um início de sessão a partir do sítio errado. Outras duas peças mantiveram a porta aberta: uma backdoor em .NET batizada de Plenet, que dava aos operadores uma consola interativa e controlo de ficheiros, e uma shell inversa em Python chamada AgentPSD, guardada como reserva. A redundância era o objetivo. Foi feita para sobreviver à descoberta, não para a evitar para sempre.

O pormenor mais incómodo é a conta do tempo. A deteção chegou cerca de dezoito meses depois da primeira entrada. Em campanhas deste género, os investigadores mediram um tempo médio de permanência bem acima de um ano, suficiente para que, em muitos casos, os registos do acesso original já tivessem sido apagados pelas políticas de retenção antes de alguém saber que devia procurar. Os atacantes não se limitaram a esconder-se: duraram mais do que as provas.

O alcance foi além da primeira vítima. Em pelo menos um caso o grupo comprometeu um prestador de serviços geridos, a empresa externa de informática que opera a tecnologia de dezenas de clientes mais pequenos, e instalou uma versão do Brickstorm na sua firewall. Uma única intrusão ali torna-se uma chave-mestra para todos os clientes por trás dela. É esta a parte da história que viaja para lá dos Estados Unidos, onde está a maioria dos alvos conhecidos. Qualquer empresa que externaliza a sua informática, ou seja, quase todas, herda a segurança de um fornecedor cujo interior não consegue ver.

Nada disto é uma falha do Microsoft 365 que um patch vá fechar. As vias de entrada foram equipamentos de terceiros e credenciais roubadas, e a nuvem comportou-se exatamente como foi concebida assim que chegou um acesso de confiança. É esse o problema difícil que o caso deixa em aberto. As organizações sem software de deteção nos seus servidores e equipamentos quase não tiveram como ver a atividade, e mesmo as que o tinham enfrentaram uma operação desenhada para parecer rotina. Por se tratar de espionagem, e não de ransomware, não houve ecrã bloqueado nem nota de extorsão a forçar o alarme: apenas dados a sair em silêncio durante todo o tempo que os operadores quiseram continuar a observar.

As intrusões vieram a público por volta de março de 2025 e os alertas multiplicaram-se desde então. Entre agosto de 2025 e janeiro de 2026, o FBI, a NSA e a agência de cibersegurança dos EUA, a CISA, publicaram uma série de avisos sobre intrusões patrocinadas pelo Estado chinês, e a CISA assinalou à parte o uso do Brickstorm contra servidores VMware. A orientação prática dos investigadores é estreita e pouco vistosa: guardar os registos mais tempo do que os atacantes conseguem esconder-se e colocar deteção nos dispositivos silenciosos na periferia da rede, precisamente onde, no fim, os fantasmas preferem viver.

Etiquetas: cibersegurança