Peretas Tiongkok mengeksploitasi kelemahan zero-day Dell sejak pertengahan tahun 2024

Sebuah kelompok peretas yang diduga didukung negara Tiongkok diam-diam mengeksploitasi kelemahan keamanan Dell yang kritis dalam serangan zero-day yang dimulai pada pertengahan tahun 2024.

Peneliti keamanan dari Mandiant dan Google Threat Intelligence Group (GTIG) terungkap hari ini bahwa kelompok UNC6201 mengeksploitasi kerentanan kredensial hardcoded dengan tingkat keparahan maksimum (dilacak sebagai CVE-2026-22769) di Dell RecoverPoint untuk Mesin Virtual, solusi yang digunakan untuk pencadangan dan pemulihan mesin virtual VMware.

“Dell RecoverPoint untuk Mesin Virtual, versi sebelum 6.0.3.1 HF1, mengandung kerentanan kredensial hardcode,” Dell menjelaskan dalam nasihat keamanan yang diterbitkan pada hari Selasa.

“Hal ini dianggap penting karena penyerang jarak jauh yang tidak diautentikasi dengan pengetahuan tentang kredensial hardcode berpotensi mengeksploitasi kerentanan ini yang menyebabkan akses tidak sah ke sistem operasi yang mendasarinya dan persistensi tingkat root. Dell menyarankan agar pelanggan meningkatkan atau menerapkan salah satu perbaikan sesegera mungkin.”

Saat berada di dalam jaringan korban, UNC6201 menyebarkan beberapa muatan malware, termasuk malware pintu belakang yang baru diidentifikasi bernama Grimbolt. Ditulis dalam C# dan dibuat menggunakan teknik kompilasi yang relatif baru, malware ini dirancang agar lebih cepat dan sulit dianalisis dibandingkan pendahulunya, sebuah pintu belakang yang disebut Badai batu bata.

Meskipun para peneliti telah mengamati kelompok tersebut menukar Brickstorm dengan Grimbolt pada bulan September 2025, masih belum jelas apakah peralihan tersebut merupakan peningkatan yang direncanakan atau “reaksi terhadap upaya respons insiden yang dipimpin oleh Mandiant dan mitra industri lainnya.”

Menargetkan server VMware ESXi

Para penyerang juga menggunakan teknik baru untuk menggali lebih dalam infrastruktur virtual korban, termasuk membuat antarmuka jaringan tersembunyi (disebut Ghost NIC) di server VMware ESXi untuk bergerak secara diam-diam melintasi jaringan korban.

“UNC6201 menggunakan port jaringan virtual sementara (AKA “Ghost NIC”) untuk beralih dari VM yang disusupi ke lingkungan internal atau SaaS, sebuah teknik baru yang belum pernah diamati Mandiant sebelumnya dalam penyelidikan mereka,” manajer komunikasi Mandiant Mark Karayan mengatakan kepada BleepingComputer.

“Konsisten dengan kampanye BRICKSTORM sebelumnya, UNC6201 terus menargetkan peralatan yang biasanya tidak memiliki agen deteksi dan respons titik akhir (EDR) tradisional agar tetap tidak terdeteksi dalam jangka waktu lama.”

Para peneliti telah menemukan tumpang tindih antara UNC6201 dan kelompok ancaman Tiongkok yang terpisah, UNC5221, yang dikenal mengeksploitasi zero-day Ivanti untuk sasaran lembaga pemerintah dengan adat Mereka bertelur Dan garis zip malware dan sebelumnya terkait dengan kelompok ancaman terkenal yang didukung oleh negara Silk Typhoon Tiongkok (meskipun keduanya tidak dianggap identik oleh GTIG).

SANGAT ditambahkan pada bulan September bahwa peretas UNC5221 menggunakan Brickstorm (pertama kali didokumentasikan oleh anak perusahaan Google, Mandiant pada bulan April 2024) untuk mendapatkan persistensi jangka panjang di jaringan berbagai organisasi AS di sektor hukum dan teknologi, sementara CrowdStrike telah terkait serangan malware Brickstorm menargetkan server VMware vCenter dari perusahaan hukum, teknologi, dan manufaktur di Amerika Serikat ke kelompok peretas Tiongkok yang dilacak sebagai Warp Panda.

Untuk memblokir serangan CVE-2026-22769 yang sedang berlangsung, pelanggan Dell disarankan untuk mengikuti panduan remediasi yang dibagikan di nasihat keamanan ini.