Il 18 febbraio 2026 Google Threat Intelligence Group e Mandiant rendono pubblica l'esistenza di CVE-2026-22769, vulnerabilità zero-day in Dell RecoverPoint for Virtual Machines sfruttata dal gruppo di cyberspionaggio cinese UNC6201 almeno da metà 2024. La falla, causata da credenziali hardcoded, permette accesso non autenticato al sistema operativo sottostante con privilegi root e persistenza a lungo termine. L'individuazione avviene mesi dopo l'inizio dell'attività, evidenziando quanto i sistemi di disaster recovery rappresentino un attack surface ad alta criticità e scarsa visibilità per le difese convenzionali.
- CVE-2026-22769 è una vulnerabilità zero-day in Dell RecoverPoint for Virtual Machines causata da credenziali hardcoded, con versioni affette precedenti a 6.0.3.1 HF1
- L'exploitation è attribuita a UNC6201, gruppo di cyberspionaggio cinese, con attività documentata almeno da metà 2024
- Il threat actor ha impiegato i malware BrickStorm e GrimBolt, e il web shell SlayStyle, con tecnica di occultamento tramite "ghost NICs" su macchine virtuali
- La transizione da BrickStorm a GrimBolt, avvenuta nel settembre 2025, indica evoluzione attiva dell'arsenale in risposta alla detection o a cicli di sviluppo predefiniti
Il meccanismo: credenziali hardcoded in un perimetro dimenticato
La vulnerabilità risiede in Dell RecoverPoint for Virtual Machines, appliance dedicata alla replica e al disaster recovery in ambienti virtualizzati. Secondo l'advisory Dell citato da SecurityWeek, "[CVE-2026-22769] is considered critical as an unauthenticated remote attacker with knowledge of the hardcoded credential could potentially exploit this vulnerability leading to unauthorized access to the underlying operating system and root-level persistence".
Le versioni affette sono quelle precedenti a 6.0.3.1 HF1. Il fix, disponibile da febbraio 2026, interrompe la possibilità di sfruttamento, ma non risolve retroattivamente i mesi di dwell time accumulati nelle reti compromesse. La natura hardcoded della credenziale implica che la stessa coppia utente-password sia presente in tutte le istanze non aggiornate del prodotto, rendendo l'exploitation altamente ripetibile e scalabile.
L'arsenale di UNC6201: da BrickStorm a GrimBolt
GTIG e Mandiant documentano l'impiego di tre strumenti distinti. BrickStorm rappresenta la componente iniziale, successivamente sostituita. Nel settembre 2025 UNC6201 introduce GrimBolt, backdoor sviluppata in C# e compilata con Ahead-of-Time (AOT), poi packed con UPX. L'esecuzione fornisce remote shell all'operatore. La transizione tra i due malware è segnalata dalla fonte con una cautela specifica: "It's unclear if the threat actor's replacement of BrickStorm with GrimBolt was part of a pre-planned life cycle iteration by the threat actor or a reaction to incident response efforts".
SlayStyle funge da web shell, consentendo accesso persistente via interfaccia web. La combinazione di backdoor compilata e web shell riflette un'architettura a ridondanza: anche il blocco di un canale lascia attiva l'alternativa.
Il dossier non specifica la funzione esatta di BrickStorm né i motivi della sua abbandono. Non emerge inoltre se GrimBolt presenti differenze sostanziali nelle capacità operative rispetto al predecessore, oltre alla diversa tecnica di compilazione.
Ghost NICs: l'anti-forense nel virtualizzato
UNC6201 ha adottato una tecnica di occultamento specifica degli ambienti virtuali: la creazione di "ghost NICs", interfacce di rete virtuali aggiunte alle macchine compromesse e successivamente eliminate. La manipolazione serve a mascherare il movimento laterale e a rendere più difficoltosa l'analisi forense post-incidente, poiché la scheda di rete non lascia tracce persistenti nella configurazione della VM.
L'uso di NIC virtuali come vettore di occultamento è coerente con la conoscenza approfondita dell'infrastruttura VMware che caratterizza questo threat actor. Il dossier non specifica tuttavia se la tecnica sia stata impiegata sistematicamente o in sottoinsiemi di vittime, né se strumenti di monitoraggio della virtualizzazione possano rilevarne la creazione transitoria.
"Gli attori di minaccia sponsorizzati da stati nazionali continuano a prendere di mira sistemi che tipicamente non supportano soluzioni EDR, rendendo molto difficile per le organizzazioni vittima sapere di essere compromesse e prolungando significativamente i tempi di permanenza delle intrusioni" — Charles Carmakal, CTO Mandiant (LinkedIn), riportato da SecurityWeek
Il collegamento a UNC5221 e i limiti dell'attributione
La fonte riporta collegamenti tra UNC6201 e UNC5221, APT di matrice cinese noto per lunghe permanenze nelle reti compromesse. Il riferimento a un report Google di settembre 2025 suggerisce che l'infrastruttura o le tattiche presentino sovrapposizioni documentate. Tuttavia il dossier non stabilisce se CVE-2026-22769 sia stata una delle zero-day identificate da UNC5221 tramite informazioni rubate: questa correlazione è esplicitamente marcata come "unclear" dalla fonte.
UNC6201 rappresenta inoltre una designazione "first public mention" nel report GTIG/Mandiant. Non emergono riferimenti precedenti che ne documentino attività sotto questo identificativo, rendendo impossibile tracciarne la storia operativa al di fuori del periodo dichiarato.
Cosa fare adesso
Le organizzazioni che utilizzano Dell RecoverPoint for Virtual Machines devono aggiornare immediatamente alla versione 6.0.3.1 HF1, l'unica versione che elimina la vulnerabilità CVE-2026-22769. L'aggiornamento blocca nuovi accessi tramite le credenziali hardcoded, ma non rimuove backdoor o web shell eventualmente già installate.
GTIG e Mandiant hanno reso disponibili indicatori di compromissione (IoC) per la detection di GrimBolt, BrickStorm e SlayStyle. I team di sicurezza devono verificare la presenza di questi IoC negli ambienti virtualizzati, con attenzione particolare ai log di creazione e distruzione di interfacce di rete su VM che possano segnalare l'uso della tecnica ghost NIC.
La mancanza di supporto EDR su appliance di disaster recovery richiede l'implementazione di monitoraggio alternativo a livello di hypervisor e di rete, area dove UNC6201 ha operato con invisibilità prolungata. Le organizzazioni devono considerare l'ispezione forense di sistemi RecoverPoint con versioni precedenti a 6.0.3.1 HF1, indipendentemente dall'assenza di alert di sicurezza.
Chi è UNC6201 e cosa distingue questa campagna
UNC6201 è designato come gruppo di cyberspionaggio cinese. Il dossier non specifica l'origine geografica precisa all'interno della Cina né i settori targeting preferiti. La tecnica delle ghost NICs e l'uso di backdoor AOT-compilate suggeriscono familiarità con gli ambienti virtualizzati enterprise, ma la fonte non quantifica il numero di vittime né la geografia degli attacchi.
La presenza di IoC rilasciati da GTIG e Mandiant offre basi per la detection, ma il brief non documenta se tali indicatori siano già integrati in piattaforme commerciali di threat intelligence.
FAQ
Cos'è esattamente una "ghost NIC" e perché è difficile da rilevare?
Una ghost NIC è un'interfaccia di rete virtuale creata temporaneamente su una macchina virtuale e poi eliminata. La sua natura transitoria la rende assente dalle configurazioni statiche e dalle immagini forensi acquisite dopo la rimozione, richiedendo monitoraggio in tempo reale dell'hypervisor per l'individuazione.
Perché GrimBolt usa compilazione AOT e packing UPX?
La compilazione Ahead-of-Time genera binari nativi senza dipendenza dal runtime .NET tradizionale, riducendo la superficie di rilevamento basata su artefatti di framework. UPX aggiunge un layer di compressione che può ostacolare l'analisi statica automatica. La fonte non documenta se queste scelte abbiano effettivamente evaso specifici controlli di sicurezza.
Il patch risolve anche compromissioni già avvenute?
No. L'aggiornamento a 6.0.3.1 HF1 elimina la vulnerabilità impedendo nuovi accessi tramite le credenziali hardcoded, ma non rimuove eventuali backdoor o web shell precedentemente installate. Il brief non indica procedure di remediation per sistemi già compromessi.
Fonti
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.