Dell-Zero-Day-Angriffe ermöglichten langfristigen Netzwerkzugang

Sicherheitsforscher berichten, dass eine mutmaßlich staatlich unterstützte chinesische Gruppe eine kritische Schwachstelle in Dell-Software mehr als ein Jahr lang ausnutzte, bevor sie öffentlich bekannt wurde. Die Lücke betraf RecoverPoint for Virtual Machines, eine Backup- und Wiederherstellungsplattform in VMware-Umgebungen.

Die Schwachstelle beruhte auf fest eingebetteten Zugangsdaten, die eine Authentifizierung ohne Berechtigung ermöglichten. Mit diesem Zugriff konnten Angreifer Systemrechte erlangen und über lange Zeiträume in Netzwerken verbleiben.

Angepasste Backdoor installiert

Nach dem Eindringen installierten die Angreifer eine Malware-Komponente namens Grimbolt. Das Werkzeug ersetzte eine frühere Backdoor und scheint auf Geschwindigkeit und geringe Entdeckungswahrscheinlichkeit optimiert zu sein.

Der Wechsel deutet darauf hin, dass die Betreiber ihre Werkzeuge während laufender Kampagnen aktiv pflegen und anpassen, wenn das Entdeckungsrisiko steigt.

Fokus auf die Virtualisierungsebene

Die Angriffe richteten sich gegen die Virtualisierungsschicht statt gegen einzelne Endpunkte. Ermittler beobachteten, wie Angreifer versteckte Netzwerkschnittstellen auf VMware-ESXi-Servern anlegten, um sich innerhalb interner Systeme zu bewegen, ohne Überwachungswerkzeuge auszulösen.

Da Backup- und Wiederherstellungsplattformen häufig keinen starken Endpunktschutz besitzen, boten sie einen zuverlässigen Einstiegspunkt in betroffene Organisationen. Von dort aus konnten Angreifer auf verbundene Systeme und Cloud-Dienste zugreifen.

Verbindungen zu Spionageaktivitäten

Technische Überschneidungen verbinden die Aktivität mit bekannten chinesischen Angriffsclustern, die historisch auf langfristige Informationsgewinnung ausgerichtet sind. Das Verhalten zeigt, dass dauerhafter Zugriff und Datensammlung im Vordergrund standen, nicht unmittelbare Störung oder finanzieller Gewinn.

Gegenmaßnahmen

Dell veröffentlichte Sicherheitsupdates zur Behebung der Schwachstelle und empfiehlt Kunden, betroffene Versionen sofort zu aktualisieren. Da die Authentifizierung auf eingebetteten Zugangsdaten beruhte, bleiben ungepatchte Systeme bis zur Aktualisierung gefährdet.

Fazit

Der Dell-Vorfall zeigt, welchen Wert Angreifer in Infrastruktursoftware sehen, insbesondere in Systemen zur Verwaltung von Backups und virtuellen Maschinen. Wer diese Plattformen kompromittiert, erhält weitreichende Einblicke in ganze IT-Umgebungen. Der Fall unterstreicht die Bedeutung schneller Patches für zentrale Verwaltungsplattformen mit privilegiertem Zugriff in Unternehmensnetzwerken.