Dell sotto attacco: uno 0-day sfruttato dagli hacker cinesi dal 2024

Gli analisti di Mandiant e del Google Threat Intelligence Group (GTIG) hanno attribuito le operazioni al gruppo UNC6201, un cluster di minacce sospettato di avere legami con la Repubblica Popolare Cinese. Il gruppo mostra sovrapposizioni tattiche con l’attore noto come Silk Typhoon (UNC5221).

Nel panorama della cybersecurity del 2026, la falla tracciata come CVE-2026-22769 emerge come un caso di scuola su quanto possa essere devastante una negligenza nella gestione delle credenziali.

Con un punteggio di gravità CVSS 10.0, questa vulnerabilità ha permesso ad attori statali di operare indisturbati per oltre un anno all’interno dei sistemi Dell RecoverPoint for Virtual Machines.

La cosa interessante, è che questo gruppo ha sfruttato questa falla almeno dalla metà del 2024 per spostarsi lateralmente, mantenere un accesso persistente e distribuire malware tra cui SLAYSTYLE, BRICKSTORM e una nuova backdoor monitorata come GRIMBOLT

Il cuore della falla: Credenziali “scolpite” nel codice

La vulnerabilità non risiede in un complesso errore di programmazione, ma in una drastica svista di configurazione.

Gli analisti hanno scoperto che il componente Apache Tomcat Manager, integrato nel software Dell, conteneva un set di credenziali predefinite (hard-coded) per l’utente “admin”.

Queste password “di fabbrica”, rintracciate nel file di sistema /home/kos/tomcat9/tomcat-users.xml, sono rimaste identiche su scala globale, trasformandosi in una chiave universale per qualsiasi malintenzionato a conoscenza del segreto.

La catena d’attacco: Dall’accesso al controllo “Root”

Sfruttare questa falla è apparso disarmante nella sua semplicità per il gruppo UNC6201. Una volta ottenute le credenziali, la sequenza dell’attacco si è articolata in tre fasi critiche:

1. Autenticazione Remota: L’attaccante accede a Tomcat Manager senza dover violare alcun perimetro difensivo complesso.
2. Iniezione del Payload: Sfruttando l’endpoint di gestione /manager/text/deploy, i criminali caricano un file WAR malevolo. Questo pacchetto agisce come un cavallo di Troia moderno, installando la web shell SLAYSTYLE.
3. Privilegi Illimitati: Grazie a questa intrusione, l’attore della minaccia ottiene la capacità di eseguire comandi come utente root, assumendo di fatto il controllo totale dell’appliance e del sistema operativo sottostante.

Una persistenza “silenziosa” tramite script di sistema

L’aspetto più insidioso della CVE-2026-22769 è come sia stata utilizzata per garantire una presenza a lungo termine nelle reti vittime. Dopo il primo accesso, gli aggressori hanno modificato uno script di shell legittimo dell’appliance, denominato convert_hosts.sh.

Inserendo il percorso della loro backdoor (come BRICKSTORM o la più recente GRIMBOLT) all’interno di questo script, sono riusciti a sfruttare il processo di avvio rc.local. Il risultato? Ogni volta che il sistema viene riavviato, la backdoor si riattiva automaticamente, rendendo l’infezione estremamente difficile da eradicare con un semplice reboot.

Oltre la falla: L’era dei malware invisibili

Lo sfruttamento di questa CVE ha aperto la strada a strumenti di nuova generazione. Il report evidenzia il debutto di GRIMBOLT, una backdoor che segna un salto di qualità nel cyber-spionaggio. Scritta in C# ma compilata in modalità Native AOT (Ahead-of-Time), GRIMBOLT non si comporta come i comuni software .NET.

Essendo convertito direttamente in codice macchina nativo, il malware nasconde i metadati che solitamente permettono ai software di difesa di identificarlo. Questa tecnica, unita alla compressione UPX, rende GRIMBOLT un “fantasma” digitale capace di operare con altissime prestazioni anche su dispositivi con risorse limitate, confermando che la CVE-2026-22769 è stata solo l’inizio di una compromissione molto più profonda.

Indicatori di compromissione

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.