Hackers chineses passaram 18 meses dentro do Microsoft 365 sem serem notados

Por cerca de um ano e meio, um grupo de hackers chineses ligados a um Estado leu e-mails corporativos, abriu arquivos internos e circulou por redes de empresas parecendo, para qualquer ferramenta de monitoramento, apenas mais um funcionário entrando para trabalhar. A invasão, detalhada pela empresa de segurança Volexity, não quebrou o Microsoft 365. Ela se passou por quem já tinha as chaves.

Essa diferença é a história inteira, e explica por que a brecha atinge qualquer pessoa cujo trabalho vive dentro de uma conta na nuvem. O Microsoft 365 é onde a maioria das empresas guarda hoje o e-mail, os documentos e a identidade de login único que abre todo o resto. Os atacantes nunca precisaram derrotar esse sistema. Tomaram emprestado um acesso válido e entraram pela porta da frente, e as defesas criadas para perguntar “é você mesmo?” decidiram que era.

O grupo é rastreado como UNC5221, também conhecido como VerdantBamboo, uma operação de origem chinesa que os pesquisadores acompanham há anos por atacar os dispositivos na borda das redes corporativas. Sua campanha recente atingiu escritórios de serviços jurídicos, empresas de software, prestadoras de terceirização de processos e fornecedoras de tecnologia. Não são alvos aleatórios: são organizações que guardam segredos de outras organizações, de processos de clientes a código-fonte e às chaves que chegam a terceiros.

O arsenal explica por que o acesso ficou invisível por tanto tempo. A peça central é um backdoor chamado Brickstorm, escrito primeiro na linguagem Go e depois reconstruído em Rust, instalado em equipamentos de rede que quase nunca rodam software de segurança nem são inspecionados. Em um caso os atacantes entraram por um sistema de sincronização de arquivos Egnyte acessível pela VPN da empresa. Desse ponto silencioso, a função de proxy do Brickstorm permitiu encaminhar a atividade pela própria rede da vítima, de modo que, ao chegar ao Microsoft 365 com credenciais roubadas, a conexão parecia local e legítima. A Volexity avalia com alta confiança que isso foi deliberado, um jeito de se misturar ao tráfego normal e driblar as regras de acesso condicional que teriam sinalizado um login vindo do lugar errado. Outras duas peças mantiveram a porta aberta: um backdoor em .NET batizado de Plenet, que dava aos operadores um terminal interativo e controle de arquivos, e um shell reverso em Python chamado AgentPSD, guardado como reserva. A redundância era o objetivo. Foi feito para sobreviver à descoberta, não para evitá-la para sempre.

O detalhe mais incômodo é a conta do tempo. A detecção veio cerca de dezoito meses depois da primeira entrada. Em campanhas desse tipo, os investigadores mediram um tempo médio de permanência bem acima de um ano, suficiente para que, em muitos casos, os registros do acesso original já tivessem sido apagados pelas políticas de retenção antes de alguém saber que precisava olhar. Os atacantes não só se esconderam: duraram mais que as provas.

O alcance foi além da primeira vítima. Em pelo menos um caso o grupo comprometeu um provedor de serviços gerenciados, a empresa externa de TI que opera a tecnologia de dezenas de clientes menores, e plantou uma versão do Brickstorm em seu firewall. Uma única invasão ali vira uma chave-mestra para todos os clientes por trás dele. Essa é a parte da história que viaja para além dos Estados Unidos, onde está a maioria dos alvos conhecidos. Qualquer empresa que terceiriza sua TI, ou seja, quase todas, herda a segurança de um fornecedor cujo interior não consegue enxergar.

Nada disso é uma falha do Microsoft 365 que um patch vá fechar. As vias de entrada foram equipamentos de terceiros e credenciais roubadas, e a nuvem se comportou exatamente como foi projetada assim que um acesso confiável chegou. Esse é o problema difícil que o caso deixa em aberto. Organizações sem software de detecção em seus servidores e equipamentos quase não tiveram como ver a atividade, e mesmo as que tinham enfrentaram uma operação desenhada para parecer rotina. Como era espionagem, e não ransomware, não houve tela bloqueada nem bilhete de extorsão para forçar o alarme: só dados saindo em silêncio pelo tempo que os operadores quiseram continuar observando.

As invasões vieram à tona por volta de março de 2025 e os alertas se multiplicaram desde então. Entre agosto de 2025 e janeiro de 2026, o FBI, a NSA e a agência de cibersegurança dos EUA, a CISA, publicaram uma série de avisos sobre invasões patrocinadas pelo Estado chinês, e a CISA sinalizou à parte o uso do Brickstorm contra servidores VMware. A orientação prática dos investigadores é estreita e sem glamour: guardar os registros por mais tempo do que os atacantes conseguem se esconder e colocar detecção nos dispositivos silenciosos na borda da rede, justamente onde, no fim, os fantasmas preferem morar.

Tags: segurança cibernética