BeyondTrust Remote Support: zero-day explotado por Armory Castle

El 15 de octubre BeyondTrust publicó el aviso BT26-05 sobre una vulnerabilidad crítica en Remote Support (RS), la solución de asistencia remota que usan los help desks y los servicios de TI: CVE-2026-102764, con una puntuación CVSS 4.0 de 9,3. Ese mismo día Mandiant y Google Threat Intelligence Group (GTIG) atribuyeron la explotación, iniciada el 29 de agosto, a Armory Castle, un grupo de espionaje con presuntos vínculos con China, antes conocido como UNC5221 y rastreado por CrowdStrike como Warp Panda. El aviso del BSI alemán (CERT-Bund) recoge la misma atribución. El parche para las instalaciones self-hosted está disponible desde el 8 de octubre.

La vulnerabilidad

Según el BSI, el fallo se debe a una validación insuficiente del origen de los mensajes en un componente de mensajería interno: en determinadas condiciones, un atacante remoto sin autenticar puede realizar operaciones con archivos en el appliance. A partir de ahí, explica Mandiant, se llega al control del host y a todas las credenciales que el appliance guarda o intermedia. BeyondTrust no publica más detalles técnicos mientras los clientes aplican el parche.

• Versiones afectadas: Remote Support hasta la 26.2.3 incluida.
• Corrección: parche BT26-05-RS para las versiones de la 24.3.1 a la 26.2.3, instalable desde la interfaz /appliance. Las versiones anteriores a la 24.3.1 deben actualizarse primero; la actualización no elimina un compromiso ya producido.
• Privileged Remote Access (PRA): comparte el código vulnerable. BeyondTrust no ha encontrado forma de explotarlo, pero ha publicado el parche por precaución y recomienda aplicarlo de inmediato.
• SaaS: las instancias en la nube de RS y PRA se corrigieron automáticamente. Las fechas no coinciden: BleepingComputer y CyberScoop indican el 8 de octubre, mientras que según SecurityWeek y CSO Online, que citan a BeyondTrust y Mandiant, la corrección estaba completa el 9 de octubre.

Cronología

La primera explotación conocida se remonta al 29 de agosto, contra una instancia alojada por BeyondTrust y un appliance self-hosted. BeyondTrust descubrió la intrusión el 28 de septiembre, tras hacerse público el compromiso de los appliances de otro fabricante y recibir un aviso genérico de Mandiant. Según CSO Online, los sensores de BeyondTrust detectaron en tiempo real la elevación de privilegios, pero el triaje automático de una plataforma de detección de terceros cerró las alertas como falsos positivos.

GTIG habla de «un número reducido» de organizaciones afectadas, sin descartar otras víctimas antes de la divulgación. BeyondTrust no ha dicho cuántos clientes se han visto comprometidos.

La cadena de ataque

Mandiant y GTIG describen una intrusión basada en un conocimiento profundo del appliance:

1. Web shell: unos 11 minutos después de la primera petición maliciosa aparece en la carpeta web SAWFLY, una web shell PHP ofuscada con comando y control cifrado.
2. Elevación a root: /bin/sh se copia en /usr/bin/dbus-authd, se asigna a root y se marca como SUID.
3. Persistencia: un script de arranque escribe una entrada sudo sin contraseña en la plantilla de sudoers de BeyondTrust, que sobrevive a reinicios y restablecimientos de la configuración.
4. Credenciales: intentos repetidos con /ns/sbin/bt-secrets, la herramienta propietaria que gestiona contraseñas, claves API y credenciales de los endpoints, para volcar el almacén de secretos.
5. Limpieza: borrados más de una docena de logs del sistema, del servidor web y de la aplicación.
6. Movimiento lateral: con credenciales de administrador comprometidas, los permisos Jump Item y Team de la cuenta pasan de «No Access» a «Administrator», lo que permite abrir sesiones remotas hacia todos los sistemas de la lista Jump Item. La transferencia de archivos de RS sirve para robar documentos útiles para el reconocimiento, como los inventarios de software.
7. Túnel: BARECLAW, un tunneler SOCKS5 a medida, al que se llega modificando la configuración HAProxy del appliance hacia un listener local oculto.

En términos de MITRE ATT&CK: T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell), T1548.001 (Setuid and Setgid), T1548.003 (Sudo and Sudo Caching), T1555 (Credentials from Password Stores), T1070.002 (Clear Linux or Mac System Logs), T1098 (Account Manipulation), T1572 (Protocol Tunneling).

Según BeyondTrust, el grupo cambia de infraestructura y herramientas con cada víctima: las fuentes no recogen direcciones ni hashes. Los indicadores públicos son de comportamiento: /usr/bin/dbus-authd, entradas sudo inesperadas, archivos PHP desconocidos en la carpeta web, cambios en HAProxy, uso de bt-secrets, cambios en los permisos Jump Item y Team, logs que faltan.

Quién es Armory Castle

Activo al menos desde octubre de 2023, el grupo realiza espionaje a largo plazo contra servicios jurídicos, proveedores SaaS, empresas de externalización de procesos, empresas tecnológicas y entidades gubernamentales. Ya ha explotado zero-days en Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282). Tras la divulgación de los fallos de Ivanti pasó a la explotación masiva, y GTIG considera posible el mismo patrón ahora. Según Shadowserver, citado por BleepingComputer, más de 1.400 instancias de Remote Support están expuestas en Internet.

Impacto para las empresas europeas e italianas

Remote Support es un punto de acceso privilegiado: llega a puestos de trabajo y servidores y guarda las credenciales para hacerlo. Quien lo usa para dar soporte a sus clientes, como los proveedores de servicios gestionados, extiende el riesgo a las redes de esos clientes: un tema de cadena de suministro central en NIS2. Un compromiso es un incidente que hay que evaluar para la notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN). En sanidad, estas herramientas suelen dar acceso remoto a sistemas clínicos gestionados por proveedores externos.

Qué hacer ya

Para Mandiant, todo appliance accesible desde Internet con una versión vulnerable durante la ventana de explotación debe considerarse potencialmente comprometido hasta que se haya revisado.

1. Conserva las pruebas: haz un snapshot del appliance antes de reiniciarlo, porque los clientes no pueden examinar el sistema de archivos del host.
2. Actualiza Remote Support y PRA con el parche BT26-05-RS.
3. Aísla: bloquea el tráfico entrante hacia la dirección pública en el firewall, no solo en /appliance; en salida permite solo los endpoints de actualización y licencia de BeyondTrust y registra cada conexión rechazada.
4. Cierra las sesiones activas y desactiva nuevas sesiones, Jump Clients, Jumpoints y cuentas API desde /login.
5. Reconstruye a partir de una imagen limpia los appliances comprometidos o de estado incierto y vuelve a desplegar Jump Clients, Jumpoints y consola para invalidar los tokens.
6. Rota las credenciales después del parche y por orden de dependencias, para que los nuevos secretos no acaben en un sistema que el atacante aún controla. Para Mandiant esto vale también para los clientes SaaS; BeyondTrust afirma en cambio que no tienen que hacer nada más.
7. Restringe /login y /appliance por dirección IP o segmento de red y activa la MFA en la cuenta Admin predefinida.
8. Busca rastros desde finales de agosto: sesiones remotas inusuales hacia los sistemas posteriores, transferencias de archivos, nuevos permisos de administración.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas: te ayuda a encontrar los appliances de asistencia remota que hay que revisar. ARX Sentry recoge logs y eventos de ordenadores, servidores y firewalls, incluidos los accesos privilegiados y el escritorio remoto. Con ARX Trace los analistas lanzan recolecciones y búsquedas en las máquinas alcanzadas por las sesiones remotas.

Última actualización: 16 de octubre de 2026