Una vulnerabilità di massima severità in Dell RecoverPoint for Virtual Machines ha consentito a un cluster APT sospetto collegato alla Cina di operare indisturbato per circa 18 mesi nelle reti di organizzazioni nordamericane. La falla, identificata come CVE-2026-22769 con punteggio CVSS 10.0, è stata aggiunta al catalogo KEV di CISA il 18 febbraio 2026: per le agenzie federali statunitensi la scadenza di patch obbligatoria è fissata al 21 febbraio 2026. Per tutti gli altri, il rischio è duplice: una compromissione attiva attualmente in corso, o una intrusione storica mai rilevata.
- CVE-2026-22769 ha punteggio CVSS 10.0 ed è causata da hard-coded credential per l'utente "admin" nell'istanza Apache Tomcat Manager di Dell RecoverPoint for VMs.
- Il cluster UNC6201, valutato da Mandiant come sospetto China-nexus e distinto da UNC5221, ha sfruttato la falla come zero-day dal mid-2024.
- La catena di attacco culmina nel deploy di BRICKSTORM e della sua evoluzione GRIMBOLT, backdoor C# compilata con ahead-of-time (AOT) nativa per eludere l'analisi.
- UNC6201 ha impiegato interfacce di rete virtuali temporanee ("Ghost NICs") per il pivoting laterale, cancellandole poi per coprire le tracce.
La porta d'ingresso: una credenziale hard-coded nel Tomcat Manager
La vulnerabilità risiede nell'istanza Apache Tomcat Manager integrata in Dell RecoverPoint for Virtual Machines. Secondo il bulletin del vendor, citato da Mandiant/Google Threat Intelligence Group, un attaccante remoto non autenticato che conosca la credenziale hard-coded può ottenere accesso non autorizzato al sistema operativo sottostante e stabilire persistenza a livello root. La credenziale interessata è relativa all'utente "admin" per l'istanza Tomcat Manager.
Le versioni affette sono quelle precedenti a 6.0.3.1 HF1; RecoverPoint Classic non risulta vulnerabile. Il meccanismo di exploitation è lineare ma devastante: autenticazione al Tomcat Manager, upload della web shell SLAYSTYLE tramite l'endpoint /manager/text/deploy, esecuzione di comandi con privilegi root, quindi deploy delle backdoor BRICKSTORM o GRIMBOLT.
BRICKSTORM e GRIMBOLT: evoluzione di una backdoor per appliance "cieche"
BRICKSTORM è nota dal 2024 in campagne collegate a UNC5221; nel caso di UNC6201, Mandiant ha rilevato un'evoluzione denominata GRIMBOLT a partire da settembre 2025. Charles Carmakal di Mandiant descrive GRIMBOLT come "una backdoor C# compilata usando native ahead-of-time (AOT) compilation, il che la rende più difficile da reverse engineer". Google/Mandiant aggiunge che "GRIMBOLT è ancora più capace di mimetizzarsi tra i file nativi del sistema".
La scelta dell'AOT è significativa: elimina il codice IL gestito tipico di .NET, riducendo la superficie analizzabile da strumenti standard e complicando il rilevamento basato su firme comportamentali. Questa caratteristica si combina con un vettore di deployment particolarmente insidioso: le appliance di disaster recovery, per loro natura, tipicamente non supportano soluzioni EDR. Charles Carmakal evidenzia che "gli attori di minaccia sostenuti da stati-nazione continuano a prendere di mira sistemi che non supportano comunemente soluzioni EDR, il che rende molto difficile per le organizzazioni vittime sapere di essere compromesse e prolunga significativamente i tempi di permanenza dell'intrusione".
"L'attore è probabilmente ancora attivo in ambienti non patchati e rimediati, e poiché l'exploitation avviene dal mid-2024, ha avuto tempo significativo per stabilire persistenza e condurre spionaggio a lungo termine" — Rich Reece, Manager Mandiant Consulting at Google Cloud
Ghost NICs: pivoting invisibile e cancellazione delle tracce
Una tattica distintiva di UNC6201, documentata da Google/Mandiant, è l'uso di "Ghost NICs": interfacce di rete virtuali temporanee create per pivotare all'interno di ambienti interni o infrastrutture SaaS, successivamente eliminate per coprire le tracce. Questa tecnica trasforma l'appliance di disaster recovery — un sistema concepito per la resilienza, non per la sicurezza attiva — in un ponte mobile e nascosto verso asset adiacenti.
L'indicazione di targeting di provider SaaS, insieme alla capacità di GRIMBOLT di mimetizzarsi tra file di sistema, solleva il rischio di compromissione a valle per i clienti dei servizi ospitati nelle organizzazioni inizialmente violate. Il dossier non specifica vittime identificate del supply chain.
CISA KEV e l'obbligo di reazione entro tre giorni
CISA ha inserito CVE-2026-22769 nel Known Exploited Vulnerabilities catalog il 18 febbraio 2026, associandolo alla binding operation directive per le Federal Civilian Executive Branch agencies. La scadenza di remediation è il 21 febbraio 2026: un intervallo di tre giorni che riflette la gravità percepita e la conferma di exploitation attiva in ambiente governativo.
Team Cymru ha pubblicato un'analisi dell'infrastruttura C2 di GRIMBOLT il 5 marzo 2026, identificando un certificato X.509 con common name WIN-DO6FVJH67FN e indirizzi IP 149.248.11[.]71, 140.82.18[.]134, 66.42.111[.]219 su VPS Vultr. Questi indicatori, benché non sostituiscano una remediation completa, forniscono elementi di threat hunting per reti che abbiano ospitato RecoverPoint nelle finestre temporali di interesse.
Cosa fare adesso
Per le organizzazioni che impiegano Dell RecoverPoint for Virtual Machines, quattro azioni sono prioritarie sulla base dei dati documentati.
Verificare la versione e applicare 6.0.3.1 HF1. Questa è l'unica release che corregge CVE-2026-22769; le versioni precedenti sono vulnerabili. RecoverPoint Classic non richiede intervento.
Investigare la presenza storica di SLAYSTYLE, BRICKSTORM o GRIMBOLT. Rich Reece di Mandiant sottolinea che "l'attore è probabilmente ancora attivo in ambienti non patchati e rimediati". La finestra di exploitation dal mid-2024 implica che una compromissione potrebbe non aver generato allarmi: le appliance di backup tipicamente non ospitano EDR, e GRIMBOLT è progettata per eludere il rilevamento.
Ricercare indicatori di Ghost NICs nei log di rete. La creazione e cancellazione di interfacce virtuali temporanee, se registrata, può segnalare pivoting laterale anche in assenza di malware rilevato su disco. Il dossier non specifica tool di rilevazione automatica per questa tattica.
Valutare l'esposizione di ambienti SaaS e infrastrutture a valle. Il pattern di targeting documentato da Mandiant include provider di servizi; una compromissione RecoverPoint può costituire punto di ingresso verso tenant e dati cliente. Il dossier non quantifica questo rischio né elenca vittime confermate a valle.
Il disaster recovery come superficie d'attacco privilegiata
La campagna UNC6201 non è un incidente isolato ma un pattern strutturale: gli attori di minaccia sostenuti da stati-nazione stanno spostando attenzione e risorse verso sistemi che, per architettura, non supportano gli strumenti di rilevamento standard. Le appliance di disaster recovery h accesso privilegiato ai dati, comunicano con molteplici segmenti di rete, e sono gestite con cicli di patching meno aggressivi degli endpoint utente. Il risultato è un "tempo geologico" di dwell time, misurato in centinaia di giorni anziché settimane.
La transizione BRICKSTORM→GRIMBOLT, datata settembre 2025, solleva interrogativi non risolti dal dossier: se si tratti di un aggiornamento programmato o di una risposta a parziale disclosure. Ciò che è documentato è la direzionalità dell'investimento tecnico: l'AOT compilation, le Ghost NICs, il targeting di SaaS providers indicano un'operazione con risorse e pianificazione, non opportunismo tattico.
Per le difese, la lezione è spaziale prima che tecnica: i blind spot si formano dove la sicurezza non è stata progettata per esistere. E dove non c'è EDR, l'attore ha tutto il tempo per rendere il sistema indistinguibile dal suo stesso codice.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/02/dell-recoverpoint-for-vms-zero-day-cve.html
- https://www.cisa.gov/news-events/alerts/2026/02/18/cisa-adds-two-known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://thehackernews.com/2024/05/hackers-created-rogue-vms-to-evade.html
- https://thehackernews.com/2025/09/unc5221-uses-brickstorm-backdoor-to.html
- https://thehackernews.com/2024/01/nation-state-actors-weaponize-ivanti.html