Malware tersebut ditulis dalam C# dan dibangun menggunakan teknik kompilasi yang relatif baru, di mana dirancang agar lebih cepat dan lebih sulit dianalisis daripada pendahulunya, sebuah malware backdoor bernama Brickstorm.
Meskipun para peneliti sudah mengamati kelompok peretas tersebut mengganti Brickstorm dengan Grimbolt pada September 2025, masih belum jelas apakah peralihan ini merupakan peningkatan yang direncanakan atau reaksi terhadap upaya penanggulangan insiden yang dipimpin oleh Mandiant dan mitra industri lainnya.
Untuk memblokir serangan CVE-2026-22769 yang tengah berlangsung, pelanggan Dell disarankan untuk mengikuti panduan perbaikan yang dibagikan dalam pemberitahuan keamanan.
Peneliti: Peretas Targetkan Server VMware ESXi
Peneliti selanjutnya menyebut para attacker menggunakan teknik baru untuk menembus lebih dalam ke infrastruktur virtualisasi korban, termasuk membuat interface jaringan tersembunyi yang disebut Ghost NIC pada server VMware ESXi guna bergerak secara diam-diam di seluruh jaringan korban.
“UNC6201 menggunakan port jaringan virtual sementara alias Ghost NIC untuk beralih dari VM yang disusupi ke lingkungan internal atau SaaS (software as a service/perangkat lunak sebagai layanan), sebuah teknik baru yang belum pernah diamati Mandiant sebelumnya dalam penyelidikan mereka,” ujar manajer komunikasi Mandiant, Mark Karayan.
“Sejalan dengan kampanye Brickstorm sebelumnya, UNC6201 terus menargetkan perangkat yang biasanya tidak memiliki agen deteksi dan respons titik akhir (endpoint detection and response/EDR) tradisional agar tetap tidak terdeteksi dalam jangka waktu lama,” sambung dia.
Sementara itu, para peneliti juga sudah menemukan tumpang tindih antara UNC6201 dan kelompok ancaman China terpisah, UNC5221, yang dikenal karena mengeksploitasi celah keamanan zero-day Ivanti untuk menargetkan lembaga pemerintah dengan malware Spawnant dan Zipline khusus, serta sebelumnya dikaitkan dengan kelompok ancaman yang didukung China, Silk Typhoon, meskipun keduanya tak dianggap identik oleh GTIG.
Pada September 2025, GTIG menambahkan bahwa peretas UNC5221 menggunakan Brickstorm—pertama kali didokumentasikan oleh anak perusahaan Google, Mandiant, pada April 2024—untuk mendapatkan akses jangka panjang ke jaringan beberapa organisasi Amerika Serikat (AS) di sektor hukum dan teknologi.
Pada bagian lain, CrowdStrike telah menghubungkan serangan malware Brickstorm yang menargetkan server VMware vCenter dari perusahaan hukum, teknologi, dan manufaktur di AS dengan kelompok peretas China yang mereka lacak bernama Warp Panda.
(wep)
