Хакери поврзани со Кина ја искористиле zero-day ранливоста во BeyondTrust за да преземат контрола над серверите за далечинска поддршка

Групата за сајбер-шпионажа поврзана со Кина, која се следи под името Armory Castle (претходно позната како UNC5221 или Warp Panda), ја искористила новообјавената безбедносна ранливост во BeyondTrust Remote Support (порано познат како Bomgar) како zero-day пропуст кон крајот на август 2026 година.

Ранливоста, означена како CVE-2026-102764 (CVSS-оцена: 9,3), е последица на неправилна проверка на потеклото на пораките во внатрешна компонента за размена на пораки. Напаѓач од далечина би можел да ја искористи за извршување операции со датотеки на засегнатиот уред.

„Ранливоста се наоѓа во внатрешните компоненти на Remote Support“, соопшти BeyondTrust во известување објавено во четвртокот. „Компонентите не го проверувале соодветно потеклото на примените пораки. Под одредени услови, ова би можело да се искористи за извршување операции со датотеки на уредот.“

Закрпите за оваа ранливост им биле испорачани на сите клиенти на Remote Support SaaS до 9 октомври 2026 година. На клиентите што сами ја хостираат услугата Remote Support и користат верзии од 24.3.1 до 26.2.3 им се препорачува рачно да ја инсталираат закрпата BT26-05-RS. Клиентите што користат верзија постара од 24.3.1 ќе мора да ја надградат на понова верзија за да го применат безбедносното решение.

Според временската линија на настаните објавена од BeyondTrust, групата Armory Castle ја искористила ранливоста како zero-day на 29 август 2026 година, напаѓајќи еден уред за Remote Support хостиран во инфраструктурата на организацијата-жртва.

Потоа, на 27 септември 2026 година, „беше објавено успешно искористување на друга безбедносна платформа“, соопшти компанијата. Ова ја поттикнало да започне истрага за откривање слични активности.

Armory Castle има историја на искористување zero-day ранливости во уредите Citrix NetScaler (CVE-2023-4966) и Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282) за да пробие во организации од различни сектори, вклучувајќи правни услуги, SaaS-провајдери, компании за аутсорсинг на деловни процеси, технолошки компании и владини институции. Целта е долгорочно собирање разузнавачки информации. Познато е дека групата е активна најмалку од октомври 2023 година.

„Актерот селективно користи zero-day ранливост против однапред избрани цели. Откако ранливоста ќе стане јавно позната, актерот обично преминува на масовно искористување на сите инстанци што сè уште не се закрпени“, соопшти BeyondTrust.

„Нашата тековна процена е дека овој актер однапред избира софтверски производи со висока вредност како цели и одржува работен модел на производите што ги таргетира во контекст на вештачката интелигенција (AI). Тој модел постојано го користи за развивање синџири на експлоатација.“

Компанијата Mandiant, во сопственост на Google, која сподели дополнителни детали за активностите поврзани со искористувањето на ранливоста, соопшти дека по успешното компромитирање се инсталира лесна PHP-веб-школка со кодното име SAWFLY. Таа овозможува интерактивен далечински пристап и двонасочна, шифрирана комуникација за командување и контрола (C2).

Операторот користи излезни јазли на комерцијални VPN-услуги и компромитирани рутери од домаќинства и мали канцеларии за да се вклопи во вообичаениот мрежен сообраќај. Потоа ја користи веб-школката како средство за ескалација на привилегиите, добивање целосна административна контрола над уредот и воспоставување постојан пристап што се задржува дури и по рестартирање.

Упадот се карактеризира со активности насочени кон кражба на акредитиви, преку читање на зачуваните тајни податоци на уредот и злоупотреба на административниот пристап за пристапување до поврзаните системи и овозможување латерално движење низ мрежата.

Деталите за активностите по експлоатацијата што ги презела групата се наведени подолу:

– Добивање контрола на ниво на root над уредот: Извршната датотека на системската школка (/bin/sh) се копира во датотеката /usr/bin/dbus-authd, по што нејзиниот сопственик се менува во root и се овозможуваат дозволите Set User ID (SUID). Ова предизвикува датотеката да се извршува со привилегиите на нејзиниот сопственик.

– Обид за извлекување акредитиви директно од уредот: Се користи сопствената алатка од командната линија (CLI) /ns/sbin/bt-secrets за пристап до вградената база на податоци за управување со тајни информации, која служи за управување, чување и преземање лозинки, API-клучеви и акредитиви за крајни уреди.

– Искористување на конфигурациските шаблони на BeyondTrust: Напаѓачите ги таргетираат конфигурациските шаблони за да добијат root-привилегии без потреба од лозинка за сервисната сметка на системот.

– Пристап до апликацијата BeyondTrust Remote Support: Со користење компромитирани администраторски акредитиви, напаѓачите вршат извидување, а потоа започнуваат далечински сесии кон поврзаните системи наведени во листата Jump Item на уредот.

– Злоупотреба на зголемените административни привилегии: Се воспоставуваат далечински сесии за поддршка кон целните системи во внатрешната мрежа, со цел да се добие целосен пристап до нивните датотечни системи. Целта е преземање и извлекување чувствителни внатрешни документи за потребите на мрежното извидување.

– Тунелирање на сообраќајот преку уредот BeyondTrust: Се користи BARECLAW, сопствена алатка напишана во C, која функционира како SOCKS5-прокси за тунелирање и ги пренесува TCP-врските меѓу далечински клиент и одредени одредишта.

– Измена на конфигурацијата за да се овозможи надворешен пристап: Датотеката /ns/config/haproxy.conf се менува за BARECLAW да биде директно достапен од интернет.

– Отежнување на откривањето на нападот: Систематски се бришат системските логови, логовите на веб-серверот и логовите на ниво на апликација.

„Во текот на целиот упад, Armory Castle покажа длабоко познавање на внатрешната архитектура на уредите BeyondTrust. Тоа се гледа преку злоупотребата на сопствените CLI-алатки, шаблоните за конфигурација при стартување и локалното рутирање преку обратниот прокси“, соопштија истражувачите на Google Threat Intelligence Group (GTIG) и Mandiant: Џејсон Фрост, Брајс Гритхаус, Брајан Мајер, Џон Палмисано, Раџеш Раџеширке, Стив Раш и Џон Волфрам.

„Секој уред што бил достапен од интернет и користел ранлива верзија во периодот кога се случувала експлоатацијата треба да се смета за потенцијално компромитиран сè додека не биде детално проверен.“

Извори:

• The Hacker News – China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers The Hacker News