Кибершпионская группа из Китая, известная как Armory Castle (ранее UNC5221 или Warp Panda), в конце августа 2026 года использовала недавно обнаруженную уязвимость безопасности в BeyondTrust Remote Support (ранее Bomgar) как уязвимость нулевого дня. Уязвимость, отслеживаемая как CVE-2026-102764 (оценка CVSS: 9.3), представляет собой проблему некорректной проверки источника во внутреннем компоненте обмена сообщениями, которая может быть использована удаленным злоумышленником для выполнения файловых операций на уязвимом устройстве.
«Уязвимость существует во внутренних компонентах Remote Support», — говорится в сообщении BeyondTrust, опубликованном в четверг. «Компоненты неадекватно проверяли источник получаемых сообщений. При определенных условиях это могло быть использовано для выполнения файловых операций на устройстве».
Обновления для устранения уязвимости были предоставлены всем клиентам Remote Support SaaS по состоянию на 9 октября 2026 года. Клиентам, использующим локальные версии Remote Support от 24.3.1 до 26.2.3, рекомендуется вручную обновиться до патча BT26-05-RS. Клиенты, использующие версию старше 24.3.1, должны будут обновить ПО до более новой версии, чтобы применить исправление.
Согласно хронологии событий, опубликованной BeyondTrust, Armory Castle использовала уязвимость нулевого дня на одном локальном устройстве Remote Support 29 августа 2026 года. Затем, 27 сентября 2026 года, «успешная эксплуатация другого поставщика устройств безопасности [стала] общедоступной», что побудило компанию начать расследование для выявления аналогичной активности.
Armory Castle имеет историюэксплуатации уязвимостей нулевого дня в устройствах Citrix NetScaler (CVE-2023-4966) и Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282) для взлома широкого спектра секторов, включая юридические услуги, поставщиков SaaS, аутсорсеров бизнес-процессов, технологические компании и правительства, с целью долгосрочного сбора разведданных. Известно, что группа активна с октября 2023 года.
«Злоумышленник выборочно использует уязвимость нулевого дня против выбранных целей, и как только уязвимость становится общедоступной, злоумышленник обычно переходит к широкой эксплуатации всех еще неисправленных экземпляров», — заявили в BeyondTrust. «По нашей рабочей оценке, этот злоумышленник заранее выбирает высокоценные программные цели и постоянно использует рабочую модель целевых продуктов в контексте ИИ для разработки цепочек эксплойтов».
Компания Google Mandiant, предоставившая дополнительные сведения об эксплуатации, сообщила, что успешный компромисс сопровождается развертыванием легковесного PHP-веб-шелла под кодовым названием SAWFLY для интерактивного удаленного доступа и двусторонней зашифрованной связи командно-контрольной системы (C2).
Оператор использует коммерческие VPN-выходные узлы и скомпрометированные домашние и малые офисные маршрутизаторы, чтобы слиться с обычным трафиком, а затем использует веб-шелл в качестве канала для повышения привилегий, получения полного административного контроля над устройством и установления персистентности таким образом, чтобы она сохранялась после перезагрузок.
Вторжение характеризуется усилиями по облегчению кражи учетных данных путем чтения сохраненных секретов устройства и злоупотребления административным доступом для достижения нижестоящих систем и обеспечения бокового перемещения. Подробности действий после компрометации, предпринятых злоумышленником, приведены ниже.
«На протяжении всего вторжения Armory Castle демонстрировала глубокое понимание внутренних компонентов устройств BeyondTrust, что подтверждается злоупотреблением проприетарными утилитами командной строки, шаблонами конфигурации запуска и локальной маршрутизацией обратного прокси», — заявили исследователи Google Threat Intelligence Group (GTIG) и Mandiant Джейсон Фрост, Брайс Гритхаус, Брайан Мейер, Джон Пальмизано, Раджеш Раджеширке, Стив Раш и Джон Вольфрам.
«Любое устройство, доступное из Интернета в уязвимой версии в период эксплуатации, должно рассматриваться как потенциально скомпрометированное до проведения проверки».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
