---
title: "Hackers chineses exploram falha gravíssima da Dell há quase dois anos"
author: "Gabriela P. Torres"
date: "2026-02-18 07:06:00-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/02/18/hackers-chineses-exploram-falha-gravissima-da-dell-ha-quase-dois-anos/md"
---

# A Promessa Quebrada da Segurança Corporativa

No mundo da tecnologia, certas premissas são tratadas como verdades absolutas. Uma delas é que uma solução de nível empresarial, como a da Dell, deve ter, no mínimo, uma base de segurança sólida. No entanto, a análise dos fatos sobre a vulnerabilidade CVE-2026-22769 prova que essa premissa é, logicamente, falsa. O "bug" aqui não é apenas um erro de código; é uma falha fundamental de confiança, onde uma porta dos fundos foi deixada aberta por quase dois anos, não por um descuido complexo, mas por algo trivialmente perigoso: uma senha codificada no sistema.

## Dissecando a Falha: O que é a CVE-2026-22769?

Vamos aos fatos, sem marketing ou eufemismos. A vulnerabilidade reside no produto Dell RecoverPoint para Máquinas Virtuais, uma ferramenta de backup e recuperação para ambientes VMware.


- **O Problema Lógico:** O sistema continha uma "credencial codificada" (hardcoded credential).
- **Desbugando o Termo:** Imagine que o fabricante do seu cofre soldou a combinação na parte de trás dele. Isso é uma credencial codificada. Não importa quão robusto o cofre pareça, a senha é fixa, pública para quem souber onde procurar, e imutável sem uma atualização do próprio fabricante. No caso da Dell, essa credencial permitia que um invasor remoto, sem qualquer autenticação, ganhasse acesso total (nível root) ao sistema operacional do dispositivo.
- **A Consequência:** Segundo o relatório da Mandiant, subsidiária do Google, publicado em 17 de fevereiro de 2026, essa falha foi ativamente explorada por um grupo rastreado como UNC6201, com supostos laços com o estado chinês, desde meados de 2024.

## O Arsenal do Invasor: Mais do que Apenas um Exploit

Uma vez que o acesso inicial foi garantido pela falha da Dell, o grupo UNC6201 não se contentou em apenas observar. Eles implantaram um arsenal de malware para garantir persistência e se mover lateralmente pela rede da vítima de forma furtiva.

### De Brickstorm para Grimbolt

Os invasores utilizaram dois backdoors principais. Um backdoor, em termos simples, é um programa malicioso que cria um ponto de acesso secreto para que o invasor possa retornar ao sistema comprometido quando quiser.


- **Brickstorm:** A ferramenta inicial, usada para manter o acesso de longo prazo nas redes.
- **Grimbolt:** Uma evolução. Escrito em C# e usando compilação AOT (Ahead-of-Time), este novo backdoor é, por design, mais rápido e significativamente mais difícil de ser detectado por ferramentas de análise estática, como antivírus tradicionais.

### A Técnica dos "Ghost NICs"

Talvez a tática mais engenhosa descoberta pela Mandiant foi o uso de "Ghost NICs" ou Placas de Rede Fantasmas. **Desbugando o conceito:** em um ambiente virtualizado como o VMware ESXi, os atacantes criavam interfaces de rede temporárias e ocultas nas máquinas virtuais. Isso permitia que eles se movimentassem pela rede interna da vítima ou se conectassem a serviços externos sem usar as "estradas" monitoradas, apagando seus rastros logo em seguida. É o equivalente digital a construir um túnel secreto entre dois prédios e demoli-lo após o uso.

## A Caixa de Ferramentas: O que Fazer Agora?

Se um fato foi estabelecido, é que confiar cegamente não é uma estratégia de segurança. A verdade é que a responsabilidade pela proteção é compartilhada. A Dell publicou uma correção, mas a janela de exposição foi longa. Portanto, a ação é necessária.


- **Verifique sua Exposição:** Determine se sua organização utiliza o Dell RecoverPoint para Máquinas Virtuais. A vulnerabilidade afeta versões anteriores à 6.0.3.1 HF1.
- **Aplique a Correção Imediatamente:** *Se* você utiliza o produto, *então* a atualização para a versão corrigida (ou mais recente) não é opcional, é mandatória.
- **Cace Ameaças Ativamente:** A aplicação do patch impede futuras explorações, mas não remove um invasor que já está dentro. É crucial que as equipes de segurança procurem ativamente por indicadores de comprometimento (IOCs), como os backdoors Grimbolt e Brickstorm, especialmente em dispositivos que não possuem soluções de EDR (Endpoint Detection and Response), os alvos preferidos do UNC6201.

A lição deste incidente é clara e lógica: a segurança não deriva de promessas de marketing, mas de verificação contínua e da presunção de que falhas existem. A pergunta "E daí?" para esta notícia é que um elo fraco, mesmo de um fornecedor renomado, pode comprometer toda a sua infraestrutura. Verifique seus sistemas. Questione seus fornecedores. Desconfie sempre.