A CrowdStrike identificou uma campanha sofisticada de ciberespionagem da Warp Panda, que tem como alvo empresas jurídicas, de tecnologia e manufaturas norte-americanas para apoiar as prioridades do governo chinês.
O ator ameaçador até então desconhecido exibe alto nível de sofisticação técnica, habilidades avançadas em segurança operacional (OPSEC) e amplo conhecimento de ambientes de nuvem e máquinas virtuais (VM), segundo informações compartilhadas pelo CrowdStrike.
A empresa de cibersegurança afirmou durante o verão de 2025 que identificou múltiplos casos em que o adversário foi alvo VMware vCenter Ambientes.
De acordo com as descobertas da CrowdStrike, o Warp Panda provavelmente usou acesso a uma das redes comprometidas para realizar reconhecimento rudimentar contra uma entidade governamental da Ásia-Pacífico.
Os hackers também foram conectados a vários blogs de cibersegurança e a um repositório GitHub em mandarim.
Durante pelo menos uma invasão, o adversário acessou especificamente contas de e-mail de funcionários que trabalham em temas alinhados aos interesses do governo chinês.
O adversário tem como alvo principal entidades na América do Norte e mantém consistentemente acesso persistente e encoberto a redes comprometidas, provavelmente para apoiar esforços de coleta de inteligência alinhados aos interesses estratégicos da República Popular da China (RPC).
Atividade Maliciosa de Longo Prazo e Persistente
A atividade foi descrita como de longo prazo e persistente, com uma intrusão em 2023 servindo como ponto de acesso inicial do Warp Panda.. O CrowdStrike comentou que o ator ameaçador está ativo desde pelo menos 2022.
A empresa avaliou com confiança moderada que o ator ameaçador provavelmente manterá suas operações de coleta de inteligência no curto e longo prazo.
Esse foco em operações de acesso de longo prazo sugere que eles estão associados a uma organização bem financiada que investiu fortemente em capacidades de ciberespionagem.
O adversário foi identificado como se posicionando Malware BRICKSTORM nos servidores VMware VCenter, uma backdoor escrita em Golang que frequentemente se passa por processos legítimos do vCenter, como o asupdatemgrorvami-http.
A Warp Panda também implantou dois implantes baseados em Golang antes não observados – JunçãoeGuestConduit– em hosts ESXi e VMs convidadas, respectivamente.
Em 4 de dezembro, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) publicou Um Conselho Conjunto o que confirmou que um ator cibernético patrocinado pelo Estado da RPC está usando o malware BRICKSTORM para persistência de longo prazo nos sistemas vítimas. O aviso também destacou que as VMware vSphereplatforms foram alvo.
A análise da CISA afirmou que os atores de ameaças cibernéticas usados TEMPESTADE TIJOLARIA para acesso persistente de pelo menos abril de 2024 até pelo menos 3 de setembro de 2025.
O Warp Panda frequentemente obtém acesso inicial explorando dispositivos de borda voltados para a internet e, posteriormente, migra para ambientes vCenter, usando credenciais válidas ou explorando vulnerabilidades do vCenter, observou a CrowdStrike. Para se mover lateralmente dentro das redes comprometidas, o adversário usa SSH e a conta de gerenciamento privilegiada vpxuser.
Em alguns casos, a CrowdStrike os identificou usando o Protocolo de Transferência Segura de Arquivos (SFTP) para transferir dados entre hosts.
TTPs também incluem limpeza de logs e timetomping de arquivos, além de criar VMs maliciosas – não registradas no servidor vCenter – e desligá-las após o uso.
Para se misturar ao tráfego legítimo da rede, o adversário usou o BRICKSTORM para tunelar o tráfego através de servidores vCenter, hosts ESXi e VMs convidadas.
Implantes BRICKSTORM se passam por processos legítimos do vCenter e possuem mecanismos de persistência que permitem que os implantes sobrevivam após a exclusão de arquivos e reinicializações do sistema.
Além disso, a Warp Panda explorou múltiplas vulnerabilidades em dispositivos de borda e ambientes VMware vCenter durante suas operações