Организации, использующие локальные версии BeyondTrust Remote Support, должны рассматривать свои устройства как потенциально скомпрометированные после того, как предполагаемая китайская группа шпионов использовала критическую уязвимость нулевого дня для получения корневого доступа, доступа к хранилищам учетных данных и создания плацдармов для бокового перемещения, согласно данным Mandiant и Google Threat Intelligence Group.
«Организации должны быть готовы к потенциальной широкомасштабной эксплуатации после раскрытия этой информации», — заявили Google Threat Intelligence Group (GTIG) и Mandiant в своем блоге. В публикации говорится, что эксплуатация уязвимости нулевого дня приписывается ARMORY CASTLE, предполагаемому шпионскому актору, связанному с КНР, ранее отслеживавшемуся как UNC5221, и датируется концом августа.
BeyondTrust раскрыла уязвимость, CVE-2026-102764, в тот же день в консультативном уведомлении BT26-05 и сообщила, что уже выпустила исправление 8 октября. Согласно записи CVE, она имеет оценку 9,3 по CVSS 4.0 и затрагивает версии Remote Support до 26.2.3. Mandiant заявила, что неаутентифицированный злоумышленник может использовать ее для выполнения файловых операций, что приведет к получению контроля на уровне хоста и доступу ко всем учетным данным, которые хранит или обрабатывает устройство.
BeyondTrust настоятельно рекомендовала клиентам с локальными установками немедленно применить исправление и сообщила в блоге, что воздерживается от технических подробностей, пока они это делают.
Месяц без обнаружения
По данным BeyondTrust, первая эксплуатация произошла 29 августа против одного экземпляра, размещенного BeyondTrust, и одного локального устройства. Компания обнаружила вторжение 28 сентября, после того как были публично сообщены о компрометации граничных устройств другого поставщика, и Mandiant отправила краткое, неконкретное предупреждение.
«Наши датчики сработали в режиме реального времени, когда злоумышленник повысил привилегии», — написала BeyondTrust в блоге. Встроенный инструмент триажа в ее сторонней платформе обнаружения затем закрыл эти оповещения как ложные срабатывания, сообщила компания, не называя поставщика. BeyondTrust заявила, что локализовала размещенный экземпляр через 27 минут после его идентификации и работает с поставщиком, поэтому автоматический триаж не может самостоятельно закрывать сигналы высокой степени серьезности.
Ни одна из компаний не сообщила, были ли скомпрометированы другие клиенты.
Корневой доступ, закрепление и очистка журналов
Примерно через 11 минут после первого вредоносного запроса в веб-корне устройства появился PHP-веб-шелл, который Mandiant назвала SAWFLY, говорится в блоге Google.
Чтобы повысить привилегии с непривилегированной учетной записи службы SAWFLY, злоумышленник скопировал /bin/sh в /usr/bin/dbus-authd, сделал root своим владельцем и установил бит SUID, сообщает Mandiant. Затем он внедрил скрипт запуска, который записывает запись sudo без пароля в шаблон sudoers BeyondTrust, чтобы доступ сохранялся после перезагрузок и сбросов конфигурации.
Согласно блогу, злоумышленник также предпринял несколько попыток использовать bt-secrets, проприетарную утилиту командной строки BeyondTrust, для дампа хранилища учетных данных устройства. Позже он удалил более десятка системных, веб-серверных и прикладных журналов.
Инструмент поддержки превращен против владельца
В своем блоге Mandiant добавила, что злоумышленник повысил права Jump Item и Team учетной записи с «Нет доступа» до «Администратор», используя скомпрометированную учетную запись администратора.
«Это изменение конфигурации предоставило злоумышленнику постоянную, неограниченную авторизацию для запуска удаленных сессий на нижестоящие системы, перечисленные в списке Jump Item устройства», — добавлено в блоге.
Он также развернул BARECLAW, пользовательский SOCKS5-туннелер, и отредактировал конфигурацию HAProxy устройства для маршрутизации трафика к нему через скрытый локальный слушатель, отмечается в сообщении.
Клиенты SaaS тоже не в безопасности
BeyondTrust заявила, что экземпляры Remote Support и Privileged Remote Access в формате SaaS были обновлены автоматически, и этим клиентам не требуется никаких дополнительных действий. Отчет Mandiant датирует развертывание SaaS 9 октября и утверждает, что шаги по ротации учетных данных и проверке конфигурации по-прежнему применимы к клиентам SaaS.
Локальные устройства версии 24.3.1 или новее могут применить исправление BT26-05-RS из интерфейса /appliance, сообщает Mandiant. Более старые версии должны быть сначала обновлены, а обновление не устраняет предыдущую компрометацию. BeyondTrust также исправила Privileged Remote Access, который использует общий затронутый код, хотя и не нашла способа использовать PRA.
«Любое устройство, которое было доступно из Интернета в уязвимой версии в течение окна эксплуатации, должно рассматриваться как потенциально скомпрометированное до тех пор, пока оно не будет проверено», — говорится в сообщении Mandiant.
Поскольку клиенты не могут аудировать файловую систему хоста устройства, Mandiant рекомендует создавать снимки подозрительных устройств перед любой перезагрузкой и перестраивать скомпрометированные устройства из чистого образа. Она советует менять учетные данные только после установки исправлений, чтобы новые секреты не попали на устройство, которое злоумышленник все еще контролирует.
Та же группа, тот же сценарий
GTIG заявила, что ARMORY CASTLE активна как минимум с октября 2023 года, и с высокой степенью уверенности предполагает, что она продолжит использовать уязвимости нулевого дня в граничных устройствах. BeyondTrust сообщила, что CrowdStrike отслеживает эту же группу как WARP PANDA.
«Вполне возможно, что мы увидим аналогичные попытки широкомасштабной эксплуатации, связанные с CVE-2026-102764», — говорится в сообщении Mandiant.
GTIG сравнила риск с 2024 годом, когда группа перешла к массовой эксплуатации после раскрытия уязвимостей Ivanti Connect Secure. В 2025 году она превратила исправление Ivanti в рабочий эксплойт. BeyondTrust заявила, что подозревает, без криминалистических доказательств, что злоумышленник использует ИИ для моделирования продуктов, которые он нацеливает, что перекликается с выводом GTIG о том, что злоумышленники быстрее используют вновь раскрытые уязвимости.
BT26-05 — это третье критическое уведомление Remote Support от BeyondTrust в этом году, согласно ее индексу уведомлений. В феврале CVE-2026-1731 подверглось активной атаке вскоре после раскрытия, и CISA добавила его в свой каталог известных уязвимостей, используемых в атаках.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Gyana Swain
