Copias de Seguridad Bajo Asedio: El Malware Grimbolt Convierte una Vulnerabilidad de Dell RecoverPoint en una Amenaza para Infraestructuras Críticas

Todo comenzó de manera silenciosa: un único inicio de sesión sospechoso en un dispositivo de respaldo. Pero lo que Mandiant descubrió después ha provocado una ola de alarma en el mundo de la tecnología operacional y las infraestructuras críticas: un actor de amenazas astuto está utilizando una vulnerabilidad de día cero en Dell RecoverPoint para infiltrarse profundamente en los sistemas de respaldo que mantienen en funcionamiento plantas de energía, fábricas y sistemas de transporte. El malware Grimbolt no es solo un nuevo nombre en el espionaje cibernético: es una advertencia de que las redes de seguridad digital de nuestros servicios más vitales ahora son objetivos principales.

Datos Rápidos

• Día cero explotado: Los atacantes están explotando la vulnerabilidad CVE-2026-22769 en Dell RecoverPoint, causada por credenciales de administrador codificadas de forma fija.
• Nueva evolución de malware: "Grimbolt" reemplaza al anterior malware Brickstorm, utilizando tácticas avanzadas de evasión y compilación nativa AOT.
• Infraestructura crítica en riesgo: Los sistemas de respaldo y recuperación ante desastres en entornos OT/ICS están expuestos, lo que podría amenazar servicios esenciales.
• Acceso persistente: Los atacantes despliegan web shells y modifican scripts para mantener un acceso sigiloso y continuo a los dispositivos comprometidos.
• Se recomienda aplicar parches: Dell ha emitido medidas de mitigación, pero los expertos advierten que se requiere acción urgente para evitar brechas más profundas.

Dentro de la Brecha: Cómo Grimbolt se Infiltró

En una investigación recientemente publicada, Mandiant y el Grupo de Inteligencia de Amenazas de Google (GTIG) confirman que el grupo de amenazas UNC6201 está explotando una vulnerabilidad de día cero en Dell RecoverPoint for Virtual Machines - software diseñado para proteger el corazón mismo de los datos empresariales. La vulnerabilidad, CVE-2026-22769, proviene de un conjunto de credenciales codificadas para el usuario “admin”, ocultas en un archivo de configuración. Con estas credenciales, los atacantes obtienen acceso no autenticado y pueden cargar archivos maliciosos en el núcleo del sistema, incluidos web shells que les otorgan el control total.

Una vez dentro, los atacantes despliegan “Grimbolt”, una nueva evolución del notorio malware Brickstorm. Escrito en C# y compilado con técnicas nativas ahead-of-time (AOT), Grimbolt está diseñado para evadir la detección por herramientas de seguridad tradicionales y operar eficientemente en dispositivos con recursos limitados. Esta sofisticación permite al grupo moverse lateralmente por las redes, ejecutar comandos y camuflarse entre la actividad legítima del sistema, dificultando su descubrimiento por parte de los defensores.

Pero no solo los servidores IT están en riesgo. Estos dispositivos de respaldo suelen estar en la intersección de la tecnología operacional (OT) y los sistemas de control industrial (ICS), conectando los mundos digital y físico. Comprometerlos podría permitir a los atacantes interrumpir indirectamente redes eléctricas, plantas de manufactura o instalaciones de tratamiento de agua - sin siquiera tocar directamente los sistemas de control.

La persistencia de los atacantes es escalofriante. El análisis forense revela que modifican scripts de automatización para asegurar que sus puertas traseras sobrevivan a los reinicios. Incluso manipulan las reglas de firewall para crear ventanas secretas de acceso, permitiendo que solo paquetes especialmente diseñados pasen desapercibidos - un enfoque que limita la detección y maximiza el sigilo.

Las agencias de seguridad, incluyendo CISA y la NSA, han actualizado sus guías de detección, pero el mensaje es claro: las organizaciones deben actuar ahora. La aplicación inmediata de parches, revisiones forenses profundas y la monitorización vigilante de la infraestructura de respaldo son críticas para evitar nuevas compromisos.

Conclusión: El Nuevo Campo de Batalla

A medida que los atacantes cambian su enfoque de los sistemas de primera línea a las capas de respaldo que sustentan la infraestructura crítica, las apuestas nunca han sido tan altas. La campaña de Grimbolt es un recordatorio contundente: las líneas de vida digitales diseñadas para salvarnos en una crisis pueden convertirse en el punto de falla si se dejan desprotegidas. En la carrera entre defensores y adversarios, la humilde copia de seguridad ahora está en la primera línea.

WIKICROOK

• Zero: Una vulnerabilidad de día cero es una falla de seguridad oculta, desconocida para el fabricante del software y sin solución disponible, lo que la hace sumamente valiosa y peligrosa para los atacantes.
• Hard: Una clave codificada de forma fija es una contraseña o código secreto incrustado directamente en el software, lo que la hace vulnerable a ser descubierta y utilizada por atacantes.
• Web shell: Un web shell es un script malicioso cargado en un servidor por hackers, permitiéndoles controlar el servidor de forma remota a través de una interfaz web.
• Ahead: La compilación ahead-of-time convierte el código antes de su ejecución, mejorando el rendimiento pero dificultando el análisis y la detección del malware para los expertos en ciberseguridad.
• Tecnología Operacional (OT): La Tecnología Operacional (OT) incluye sistemas informáticos que controlan equipos y procesos industriales, lo que a menudo los hace más vulnerables que los sistemas IT tradicionales.