CISA, NSA, dan Canadian Centre for Cyber Security mengungkap BRICKSTORM, backdoor canggih yang menargetkan VMware ESXi hypervisor. Malware ini dikaitkan dengan threat actor UNC3886 dan memungkinkan akses persisten tingkat administrator, eksfiltrasi data, dan kontrol penuh terhadap infrastruktur virtual enterprise. Laporan ini menganalisis teknik serangan, IOC, dan strategi mitigasi berdasarkan investigasi Mandiant dan NVISO.
Pada 5 Desember 2025, Cybersecurity and Infrastructure Security Agency (CISA), National Security Agency (NSA), dan Canadian Centre for Cyber Security merilis advisory bersama AR25-338A yang mengungkap keberadaan BRICKSTORM backdoor—malware canggih yang secara khusus dirancang untuk mengkompromikan VMware ESXi hypervisor.
BRICKSTORM bukan sekadar malware biasa. Ini adalah persistent backdoor yang beroperasi di tingkat hypervisor, memberikan threat actor kemampuan untuk:
VMware ESXi adalah platform virtualisasi yang digunakan oleh lebih dari 500,000 organisasi global, termasuk 80% dari Fortune 500. Kompromi pada tingkat hypervisor memberikan threat actor akses ke semua workload virtual yang berjalan di atasnya—termasuk database produksi, aplikasi bisnis kritis, dan sistem keamanan itu sendiri.
Mandiant mengidentifikasi BRICKSTORM sebagai toolkit dari UNC3886, threat actor yang diduga beroperasi atas nama kepentingan China. Grup ini dikenal melakukan kampanye cyber-espionage yang menargetkan sektor teknologi, pemerintah, dan infrastruktur kritis.
⚠️ Konfirmasi MITRE ATT&CK: UNC3886 menggunakan teknik dari berbagai taktik termasuk T1078 (Valid Accounts), T1505.003 (Web Shell), T1082 (System Information Discovery), dan T1048 (Exfiltration Over Alternative Protocol).
BRICKSTORM menggunakan
VIB (vSphere Installation Bundle) yang
dimodifikasi untuk mempertahankan persistensi. Malware
menyisipkan dirinya ke dalam
/bootbank/
atau
/altbootbank/
directory ESXi.
Backdoor berkomunikasi dengan server C2 menggunakan encrypted channel melalui port non-standar. Mandiant mengidentifikasi penggunaan:
BRICKSTORM mengimplementasikan beberapa teknik anti-forensic dan evasion:
Menghapus entri dari /var/log/vobd.log dan syslog.log
Memodifikasi file timestamps untuk menyembunyikan aktivitas
Sebagian payload hanya ada di memory, tidak di disk
Hooking system calls untuk menyembunyikan proses
UNC3886 mengeksploitasi zero-day vulnerabilities atau kredensial yang dikompromikan untuk mendapatkan akses awal ke vCenter atau ESXi host.
Setelah mendapatkan akses, threat actor melakukan privilege escalation untuk mendapatkan akses root/administrator pada ESXi host.
BRICKSTORM binary di-upload dan di-install sebagai VIB atau dimodifikasi langsung ke bootbank. Persistence script ditambahkan ke autostart.
Backdoor melakukan initial beacon ke C2 server, mengirim informasi sistem, dan menunggu perintah dari threat actor.
Dengan akses penuh ke hypervisor, threat actor dapat mengakses guest VM, mengekstrak data sensitif, dan melakukan lateral movement ke sistem lain.
Berikut adalah Indicators of Compromise yang dikonfirmasi oleh CISA dalam advisory AR25-338A dan diperkaya dengan data dari Mandiant Intelligence:
CISA menyediakan STIX/TAXII feed dan CSV export dari seluruh IOC yang terkait dengan BRICKSTORM untuk integrasi dengan SIEM, EDR, dan threat intelligence platform.
Access CISA Advisory AR25-338ABRICKSTORM dirancang untuk evade traditional security tools. Karena beroperasi di tingkat hypervisor, malware ini berada di luar jangkauan antivirus dan EDR yang berjalan di guest VM. Namun, ada beberapa metode yang dapat digunakan untuk mendeteksi keberadaannya:
Periksa integritas file sistem ESXi, khususnya bootbank dan direktori kritis:
Monitor traffic keluar dari ESXi host ke destination yang tidak dikenal:
Analisis log untuk aktivitas mencurigakan atau gap dalam logging:
Lakukan memory dump dan analisis untuk deteksi payload yang hanya ada di memory:
NVISO Incident Response team merilis detection script untuk scanning ESXi host terhadap IOC BRICKSTORM:
Putuskan koneksi network dari ESXi host yang terkompromi untuk mencegah lateral movement dan exfiltration data. Jangan shutdown untuk preservasi volatile evidence.
Lakukan forensic acquisition: memory dump, disk image, log files. Dokumentasikan timeline dan scope kompromi.
Reset semua credential yang memiliki akses ke vSphere environment: vCenter admin, ESXi root, service accounts, API keys.
Aktivasi incident response team. Jika tidak memiliki kapabilitas internal, hubungi Mandiant, NVISO, atau IR firm lain yang berpengalaman dengan VMware compromise.
BRICKSTORM backdoor merepresentasikan evolusi signifikan dalam serangan terhadap infrastruktur virtual. Dengan menargetkan hypervisor layer, threat actor UNC3886 menunjukkan pemahaman mendalam tentang arsitektur VMware dan kemampuan untuk mengembangkan tooling yang sophisticated untuk evade detection.
Advisory CISA AR25-338A, dikombinasikan dengan intelligence dari Mandiant dan NVISO, memberikan kita visibility yang belum pernah ada sebelumnya terhadap operasi APT yang menargetkan virtualization infrastructure. Namun, deteksi dan mitigasi BRICKSTORM memerlukan pendekatan yang berbeda dari threat hunting tradisional.
Organisasi yang menjalankan VMware vSphere harus segera melakukan assessment terhadap security posture mereka, implementasi detection controls, dan memastikan incident response capability mereka siap untuk handle compromise pada tingkat hypervisor.
Cybersecurity and Infrastructure Security Agency, NSA, Canadian Centre for Cyber Security
Google Cloud Threat Intelligence (formerly Mandiant)
Open-source detection scripts and IOC hunting tools
Tactics, Techniques, and Procedures (TTPs) mapping
Official security bulletins and hardening guides for ESXi
Tim cybersecurity KRES.ID memiliki expertise dalam VMware security assessment, incident response, dan threat hunting untuk infrastruktur virtual enterprise. Kami siap membantu organisasi Anda melakukan:
Comprehensive audit vSphere infrastructure
Proactive IOC scanning & detection
24/7 emergency response untuk compromise
Implementation security best practices