Hacker cinesi sono rimasti 18 mesi dentro Microsoft 365 senza farsi notare

Per circa un anno e mezzo un gruppo di hacker cinesi legati a uno Stato ha letto email aziendali, aperto file interni e si è mosso nelle reti delle imprese sembrando, a ogni strumento di monitoraggio, un normale dipendente che accede per lavorare. L’intrusione, descritta dalla società di sicurezza Volexity, non ha violato Microsoft 365. Si è spacciata per chi le chiavi le aveva già.

Questa distinzione è tutta la storia, e spiega perché la falla riguarda chiunque lavori dentro un account cloud. Microsoft 365 è oggi il posto in cui la maggior parte delle aziende tiene la posta, i documenti e l’identità con accesso unico che apre tutto il resto. Gli attaccanti non hanno mai dovuto sconfiggere quel sistema. Hanno preso in prestito un accesso valido e sono entrati dalla porta principale, e le difese progettate per chiedere “sei davvero tu?” hanno deciso di sì.

Il gruppo è tracciato come UNC5221, noto anche come VerdantBamboo, un’operazione di matrice cinese che i ricercatori seguono da anni perché colpisce i dispositivi ai margini delle reti aziendali. La sua campagna recente ha colpito studi di servizi legali, aziende di software, fornitori di esternalizzazione dei processi e società tecnologiche. Non sono bersagli casuali: sono organizzazioni che custodiscono i segreti di altre organizzazioni, dai fascicoli dei clienti al codice sorgente fino alle chiavi che arrivano ai clienti a valle.

L’arsenale spiega perché l’accesso è rimasto invisibile così a lungo. Il pezzo centrale è una backdoor chiamata Brickstorm, scritta prima nel linguaggio Go e poi ricostruita in Rust, installata su apparati di rete che quasi mai eseguono software di sicurezza e quasi mai vengono ispezionati. In un caso gli attaccanti sono entrati da un sistema di sincronizzazione file Egnyte raggiungibile tramite la VPN aziendale. Da quel punto d’appoggio silenzioso, la funzione di proxy di Brickstorm ha permesso di instradare l’attività attraverso la rete stessa della vittima, così che, arrivando a Microsoft 365 con credenziali rubate, la connessione sembrava locale e legittima. Volexity ritiene con alta affidabilità che fosse deliberato, un modo per confondersi con il traffico normale e aggirare le regole di accesso condizionato che altrimenti avrebbero segnalato un login dal posto sbagliato. Altri due pezzi hanno tenuto la porta aperta: una backdoor in .NET battezzata Plenet, che dava agli operatori una console interattiva e il controllo dei file, e una reverse shell in Python chiamata AgentPSD, tenuta di riserva. La ridondanza era lo scopo. Era costruita per sopravvivere alla scoperta, non per evitarla per sempre.

Il dettaglio più scomodo è il conto del tempo. Il rilevamento è arrivato circa diciotto mesi dopo il primo ingresso. In campagne di questo tipo gli investigatori hanno misurato una permanenza media ben superiore a un anno, abbastanza lunga perché in molti casi i registri della violazione originaria fossero già stati cancellati dalle politiche di conservazione prima che qualcuno sapesse di dover guardare. Gli attaccanti non si sono solo nascosti: sono durati più a lungo delle prove.

La portata è andata oltre la prima vittima. In almeno un caso il gruppo ha compromesso un fornitore di servizi gestiti, l’azienda informatica esterna che fa funzionare la tecnologia di decine di clienti più piccoli, e ha piazzato una versione di Brickstorm sul suo firewall. Una sola intrusione lì diventa una chiave universale per ogni cliente che ci sta dietro. È la parte della storia che viaggia oltre gli Stati Uniti, dove si concentra la maggior parte dei bersagli noti. Qualsiasi azienda che esternalizza la propria informatica, cioè quasi tutte, eredita la sicurezza di un fornitore di cui non può vedere l’interno.

Niente di tutto questo è un difetto di Microsoft 365 che una patch chiuderà. I punti d’ingresso erano apparati di terze parti e credenziali rubate, e il cloud si è comportato esattamente come previsto non appena è arrivato un accesso fidato. È il problema difficile che il caso lascia aperto. Le organizzazioni senza software di rilevamento sui propri server e apparati non avevano quasi modo di vedere l’attività, e perfino quelle che lo avevano hanno affrontato un’operazione progettata per sembrare ordinaria amministrazione. Trattandosi di spionaggio e non di ransomware, non c’è stato uno schermo bloccato né un biglietto di estorsione a forzare l’allarme: solo dati che uscivano in silenzio per tutto il tempo in cui gli operatori hanno voluto continuare a osservare.

Le intrusioni sono emerse intorno a marzo 2025 e da allora gli avvisi si sono moltiplicati. Tra agosto 2025 e gennaio 2026 l’FBI, la NSA e l’agenzia statunitense per la cybersicurezza CISA hanno pubblicato una serie di avvisi sulle intrusioni sponsorizzate dallo Stato cinese, e la CISA ha segnalato a parte l’uso di Brickstorm contro server VMware. Il consiglio pratico degli investigatori è stretto e poco appariscente: conservare i registri più a lungo di quanto gli attaccanti riescano a nascondersi e mettere il rilevamento sui dispositivi silenziosi ai margini della rete, proprio quelli dove, alla fine, i fantasmi preferiscono abitare.

Tag: cybersicurezza