LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer neuen Welle gegen Linux-Appliances: Die China-nah verortete Gruppe VerdantBamboo setzt eine BSD-Variante von BRICKSTORM ein, ergänzt um PLENET (GRIMBOLT) und AGENTPSD. Auffällig sind die Umgehung von Sicherheitskontrollen über proprietäre Geräte und die Nutzung von Proxy- und Credentials-Logik, um in Microsoft 365 sowie über VPN-Zugänge seitlich zu kommen. In einem Fall wurde die Kompromittierung über Egnyte Storage Sync gestartet und später über ein MSP-Umfeld erweitert. Betroffene können sich auf ein bereits veröffentlichtes Fix-Release für Storage Sync verlassen, müssen jedoch nach IOCs und Spuren auf Appliance-Ebene suchen.
Bei Vorfällen gegen Unternehmen werden Sicherheitslücken in „klassischen“ Servern oft zuerst adressiert. Umso dringlicher wirkt nun ein Befund, der den Fokus auf Linux-Appliances und Netzwerkperipherie verschiebt: Die von Volexity beobachtete Bedrohungsgruppe VerdantBamboo soll eine BSD-Variante eines Backdoors namens BRICKSTORM auf Appliances ausrollen und dabei weitere Schadsoftware-Familien einsetzen, darunter PLENET (auch GRIMBOLT) sowie AGENTPSD. Die Aktivität sei im Rahmen einer Incident-Response-Beratung im September 2025 entdeckt worden und betreffe nicht nur einzelne Endpunkte, sondern auch Storage- und Netzwerkkomponenten, die in vielen Umgebungen weniger streng überwacht werden.
Technisch spannend ist dabei die Wahl des Angriffsziels: VerdantBamboo kompromittiert offenbar Systeme, auf denen EDR-Software typischerweise nicht oder nur eingeschränkt läuft. Im beschriebenen Fall gelang der Einstieg über Egnyte Storage Sync, indem ein lokaler Privilege-Escalation-Fehler ausgenutzt wurde, um anschließend BRICKSTORM zu installieren. Die Abwehr erfolgte nicht nur durch forensische Bereinigung, sondern auch durch Produktpflege: Egnyte adressierte die Schwachstelle in Storage Sync Version 13.13, die im März 2026 veröffentlicht wurde. Damit wird deutlich, dass die „Appliance-Schicht“ nicht nur ein Ziel, sondern ein entscheidender Hebel für Persistenz und weitere Ausbreitung ist.
Für die weitere Bewegung schildern die Forscher ein komplexes, aber zugleich operativ zielgerichtetes Muster. Nach der anfänglichen Eindämmung soll VerdantBamboo in derselben Organisation zurückgekehrt sein, indem gestohlene Administrationsdaten genutzt wurden, um über die Firewall eine Verbindung aufzubauen. Anschließend wurde konfiguriert, dass über Web-SSL-VPN-Zugänge auf die Geräte zugegriffen werden kann, um wiederum andere Systeme zu erreichen und zusätzliche Malware auf eine Synology Network Attached Storage (NAS) Appliance zu übertragen. Diese Kette zeigt, wie Angreifer Umgebungen „verkabeln“: nicht als einmaliger Schadsoftware-Upload, sondern als kontrollierbarer Zugangskanal, der den Angriff über mehrere Zonen verlängert.
Ein zentraler Aspekt ist die Umgehung von Sicherheitsmechanismen, insbesondere von Conditional Access in Microsoft 365. Laut Bericht habe der Angreifer über periodische Zugriffe von IP-Adressen agiert, die offenbar über den Web-SSL-VPN des Opfers bereitgestellt wurden. Zusätzlich habe die Malware Proxy-Funktionen genutzt, um den Zugriff so zu verschleiern, dass er wie legitimer Netzwerkverkehr wirkt. Aus Verteidigungssicht ist das weniger ein „einmaliger Trick“ als ein Prinzip: Anstatt die Authentifizierung direkt zu „brechen“, werden Pfade gewählt, die bestehende Vertrauensannahmen ausnutzen. Das erklärt auch, warum ein einzelner Patch oft nicht genügt, wenn Angriffsspuren bis in Identitäts- und Netzwerkzugangsketten reichen.
Der Markt- und Branchenkontext verdeutlicht, dass diese Taktiken in ein größeres Bedrohungsbild fallen. Volexity ordnet VerdantBamboo einem Bedrohungscluster zu, das sich überlappen soll mit Gruppen, die in der Branche unter anderem als Clay Typhoon (Microsoft), UNC5221 (Google) und Warp Panda (CrowdStrike) bekannt sind. Entscheidend ist dabei weniger die exakte Namenszuordnung als die gemeinsame Angriffssystematik: Living-off-the-land in Kombination mit Malware-Deployment auf Geräten, die nicht für moderne Security-Stack-Abdeckung ausgelegt sind. Genau diese Kombination wurde auch jüngst in einer Google-Meldung zu PLENET im Zusammenhang mit Angriffen durch ein mutmaßlich zugehöriges Cluster namens UNC6201 sichtbar, das sogar Dell RecoverPoint for Virtual Machines (CVE-2026-22769, CVSS 10,0) als Zero-Day ausgenutzt haben soll.
Auch die Implementation von PLENET und BRICKSTORM zeigt, wie sich Schadcode-Engineering in den letzten Jahren weiterentwickelt hat. PLENET sei als plattformübergreifender Backdoor in .NET Core entwickelt worden und liefere Funktionen wie interaktive Shell, Remote-Command-Execution, Datei-Manipulation sowie das Umschalten von Command-and-Control (C2)-Servern. Gleichzeitig wird von einer neuen BRICKSTORM-Version berichtet, die per native ahead-of-time (AOT)-Compilation erstellt wurde. Für Angreifer bedeutet das häufig Vorteile bei Performance, geringerer Abhängigkeit von Laufzeitumgebungen und potenziell besserer Anpassbarkeit an Appliance-Constraints. AGENTPSD wiederum sei eine Python-basierte Reverse-Shell, die offenbar als Fallback dient, falls das primäre Implant nicht mehr zuverlässig funktioniert.
Vergleicht man dieses Vorgehen mit früheren erfolgreichen Initiativen, wird ein wiederkehrendes Muster sichtbar: Viele Kampagnen aus den letzten Jahren versuchten, „schwach überwachte“ Komponenten als Sprungbrett zu nutzen. Früher standen dabei oft Server-Workloads oder schlecht gepatchte Webdienste im Vordergrund; heute rücken Netzwerkzugang und Storage-Infrastruktur stärker in den Fokus, weil sie als Integrationspunkte für Datenflüsse und Authentifizierung dienen. Der Hinweis, dass VerdantBamboo über proprietäre Appliances gute Kenntnisse besitzen soll, passt dazu: Wer die Eigenheiten von Geräten kennt, kann Persistenzmechanismen maßschneidern und dabei die Zahl eingesetzter Domains und IP-Adressen pro Opfer niedrig halten. Gerade diese Operational-Security-Disziplin erschwert die Detektion über generische Regeln.
Besonders relevant für die Unternehmenspraxis ist außerdem der Pfad des anfänglichen Zugriffs über einen Managed Services Provider (MSP). Die Ermittler schreiben, dass nicht nur der direkte Zielsystem-Pfad eine Rolle spielte, sondern dass offenbar die MSP-Umgebung kompromittiert wurde, konkret die pfSense-Firewall des Dienstleisters mit einer BSD-Variante von BRICKSTORM zum gleichen Zeitpunkt wie die Egnyte Storage Sync-Brechs. Das legt nahe, dass Angreifer häufiger „über das Operations-Ökosystem“ gelangen, statt nur beim Endkunden zu scannen. Für CIOs und Security-Teams bedeutet das: Zero-Trust- und Segmentierungsstrategien müssen auch Dienstleister-Perimeter, Admin-Zugänge und Fernwartungslogik einschließen, nicht nur die eigene Appliance-Landschaft.
Der Ausblick fällt damit zweigeteilt aus. Erstens: Das konkrete Fix-Release für Storage Sync Version 13.13 ist ein wichtiger Schritt, der jedoch primär die ursprüngliche Schwachstelle schließt; er ersetzt nicht die Suche nach kompromittierten Zugangspfaden, Proxy-Nutzung, gestohlenen Credentials und konfigurierten Web-SSL-VPN-Regeln. Zweitens: Die beschriebenen Techniken – Proxying, spezielle Implant-Namensgebung pro Gerät, AOT-kompilierte Artefakte und die Nutzung von Rückfallkanälen – deuten auf eine anhaltende Systematik hin, nicht auf ein einmaliges Experiment. Branchenexperten betonen entsprechend, dass VerdantBamboo gerade dort angreift, wo Sicherheitsprodukte traditionell Grenzen haben. Für Entwickler und Betreiber bedeutet das, dass die harte Grenze zwischen „Appliance“ und „Security-fähigem Host“ strategisch weiter verschwimmen muss, etwa durch strengere Logging-Standards, die Absicherung von VPN-Zugängen und by-design geeignete Telemetrie.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "VerdantBamboo nutzt Linux-Appliances: BRICKSTORM-BSD mit PLENET und AGENTPSD" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "VerdantBamboo nutzt Linux-Appliances: BRICKSTORM-BSD mit PLENET und AGENTPSD" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »VerdantBamboo nutzt Linux-Appliances: BRICKSTORM-BSD mit PLENET und AGENTPSD« bei Google Deutschland suchen, bei Bing oder Google News!