Dell RecoverPoint: פרצת יום אפס בדירוג 10 נוצלה מאמצע 2024, לפי Google
ב-18 בפברואר 2026 פרסמו Google ו-Mandiant שקבוצה חשודה כסינית ניצלה את CVE-2026-22769 במערכת הגיבוי של Dell. Dell מציעה תיקון, ו-CISA הוסיפה את הפרצה לקטלוג המנוצלות.
TL;DR בקצרה
- לפי Google ו-Mandiant, הקבוצה UNC6201 מנצלת את CVE-2026-22769 ב-Dell RecoverPoint for Virtual Machines לפחות מאמצע 2024.
- הסיבה היא סיסמת admin קבועה ב-Tomcat Manager של המכשיר. התוקף מעלה קובץ WAR ומריץ פקודות כ-root.
- Dell תיקנה בגרסה 6.0.3.1 HF1, ויש גם סקריפט תיקון בעדכון KB 000426742 למי שלא יכול לשדרג.
- CISA הוסיפה את החולשה לקטלוג ב-18 בפברואר וקבעה לסוכנויות פדרליות דד-ליין של שלושה ימים.
קבוצת תקיפה חשודה כסינית ניצלה פרצת יום אפס בדירוג 10 ב-Dell RecoverPoint כבר מאמצע 2024. כך Google Threat Intelligence Group ו-Mandiant כתבו ב-18 בפברואר 2026. הפרצה, CVE-2026-22769, כבר מתוקנת. CISA הוסיפה אותה באותו יום לקטלוג הפרצות המנוצלות.
פרצת RecoverPoint: סיסמת admin שכתובה בקוד
RecoverPoint for Virtual Machines היא מערכת לגיבוי ולהתאוששות מאסון של מכונות וירטואליות ב-VMware. הפרצה קיימת ב-Apache Tomcat Manager, הרכיב שמתקין את חלקי התוכנה של המכשיר. פרטי הכניסה של המשתמש admin כתובים בקובץ הגדרות של Tomcat.
לפי Google, התוקף מזדהה עם הפרטים האלה. אחר כך הוא מעלה חבילת WAR זדונית ומריץ פקודות עם הרשאות root. לפי Dell, תוקף מרחוק שמכיר את הסיסמה הקבועה מקבל גישה למערכת ההפעלה. הוא גם משיג אחיזה קבועה ברמת root.
הייעוץ של Dell, DSA-2026-079 מ-17 בפברואר, מפרט את הגרסאות הפגיעות. אלה הגרסאות 6.0 עד 6.0 SP3 P1, וגם 5.3 SP4 P1. גרסאות 5.3 ישנות עשויות להיות פגיעות גם הן. הגרסה המתוקנת היא 6.0.3.1 HF1. מי שלא יכול לשדרג מיד יכול להריץ סקריפט תיקון, שמתואר במאמר KB 000426742. RecoverPoint Classic אינה מושפעת. Dell מדווחת על ניצול מוגבל בפועל.
CISA קבעה לסוכנויות הפדרליות בארה״ב להתגונן עד סוף 21 בפברואר. לפי BleepingComputer, זה דד-ליין של שלושה ימים בלבד.
מה עשתה UNC6201 אחרי הכניסה ל-RecoverPoint
Google מייחסת את הפעילות לקבוצה UNC6201, שנחשדת כקשורה לסין. יש חפיפה בינה לבין UNC5221, שמזוהה לעיתים עם Silk Typhoon. Google אינה רואה בהן אותה קבוצה.
התוקפים התקינו web shell בשם SLAYSTYLE ואת הדלת האחורית BRICKSTORM. בספטמבר 2025 ראתה Mandiant שהם מחליפים אותה בדלת אחורית חדשה, GRIMBOLT. היא כתובה ב-C# ומקומפלת בשיטת native AOT, ולכן קשה לנתח אותה. Google לא יודעת אם ההחלפה תוכננה מראש או שהיתה תגובה לפעולות של צוותי תגובה לאירועים.
כדי לשרוד הפעלה מחדש, התוקפים שינו סקריפט לגיטימי בשם convert_hosts.sh. המכשיר מריץ אותו בכל עלייה. כך הדלת האחורית חזרה לפעול אחרי כל אתחול.
עוד תחכום: התוקפים יצרו כרטיסי רשת זמניים על מכונות וירטואליות בשרת ESXi. Google קוראת להם Ghost NICs. דרכם עברו לרשתות פנימיות ולשירותי SaaS של הארגונים.
במכשירי vCenter שנפרצו מצאה Mandiant גם כללי iptables חריגים. חבילה עם רצף מיוחד בפורט 443 מוסיפה את כתובת השולח לרשימה. במשך חמש דקות התעבורה שלה מופנית בשקט לפורט 10443. כך הערוץ נשאר סמוי.
למה מערכת גיבוי היא יעד אטרקטיבי כל כך
מערכת התאוששות מאסון מחזיקה עותקים של השרתים החשובים בארגון. היא גם קשורה לסביבת הווירטואליזציה. תוקף שמשתלט עליה רואה את הנתונים, ויש לו דרך אל שרתי הניהול.
מכשירים סגורים כאלה לרוב אינם מריצים כלי אבטחה כמו EDR. לכן פריצה אליהם נשארת שקטה זמן רב. כאן עברה לפחות שנה וחצי עד שהפרצה נחשפה.
Google לא קבעה איך התוקפים נכנסו בכל מקרה. היא מציינת שהקבוצה מוכרת בכך שהיא תוקפת מכשירי קצה, כמו מרכזות VPN. גם Dell מזכירה שהמוצר לא נועד לרשתות ציבוריות או לא מהימנות. לכן היא ממליצה להציב אותו ברשת פנימית מאחורי חומת אש.
מה זה אומר עבורכם
- בדקו גרסה ושדרגו: אם יש לכם RecoverPoint for VMs, עברו ל-6.0.3.1 HF1. אם אי אפשר מיד, הריצו את סקריפט התיקון של Dell.
- סגרו את הגישה: שימו את המכשיר ברשת ניהול פנימית. אל תחשפו אותו לאינטרנט או לרשת המשתמשים.
- חפשו פריצה שכבר קרתה: תוקפים ניצלו את הפרצה מאמצע 2024, ולכן עדכון לבדו לא מספיק. חפשו בקובץ fapi_cl_audit_log.log בקשות ל-manager, ובדקו את convert_hosts.sh.
- הכניסו את סימני הפריצה לניטור: Google פרסמה כתובות, גיבובי קבצים וכללי YARA. הזינו אותם לכלי האבטחה שלכם.
- בדקו את ESXi ו-vCenter: חפשו כרטיסי רשת זמניים שהצוות לא יצר, וכללי iptables שלא הגדרתם.
מקורות והרחבה
- From BRICKSTORM to GRIMBOLT: UNC6201 Exploiting a Dell RecoverPoint for Virtual Machines Zero-DayGoogle Cloud Blog
- DSA-2026-079: Security Update for RecoverPoint for Virtual Machines Hardcoded Credential VulnerabilityDell
- CISA orders feds to patch actively exploited Dell flaw within 3 daysBleepingComputer
- Dell RecoverPoint zero-day exploited by Chinese cyberespionage groupSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
