BeyondTrust Remote Support: zero-day sfruttato da Armory Castle

Il 15 ottobre BeyondTrust ha pubblicato l’avviso BT26-05 su una vulnerabilità critica di Remote Support (RS), la soluzione di assistenza remota usata da help desk e servizi IT: CVE-2026-102764, punteggio CVSS 4.0 di 9.3. Lo stesso giorno Mandiant e Google Threat Intelligence Group (GTIG) hanno attribuito lo sfruttamento, iniziato il 29 agosto, ad Armory Castle, gruppo di spionaggio sospettato di legami con la Cina, già noto come UNC5221 e tracciato da CrowdStrike come Warp Panda. L’avviso del BSI tedesco (CERT-Bund) riporta la stessa attribuzione. La patch per le installazioni self-hosted è disponibile dall’8 ottobre.

La vulnerabilità

Secondo il BSI, il difetto nasce da una validazione insufficiente dell’origine dei messaggi in un componente di messaggistica interno: a certe condizioni un attaccante remoto, senza autenticazione, può eseguire operazioni sui file dell’appliance. Da lì, spiega Mandiant, si arriva al controllo dell’host e a tutte le credenziali che l’appliance conserva o inoltra. BeyondTrust non pubblica altri dettagli tecnici finché i clienti non hanno aggiornato.

• Versioni colpite: Remote Support fino alla 26.2.3 compresa.
• Correzione: patch BT26-05-RS per le versioni dalla 24.3.1 alla 26.2.3, installabile dall’interfaccia /appliance. Le versioni precedenti alla 24.3.1 vanno prima aggiornate; l’aggiornamento non elimina una compromissione già avvenuta.
• Privileged Remote Access (PRA): condivide il codice vulnerabile. BeyondTrust non ha trovato modi per sfruttarlo, ma ha rilasciato la patch per prudenza e consiglia di applicarla subito.
• SaaS: le istanze cloud di RS e PRA sono state corrette in automatico. Le date divergono: BleepingComputer e CyberScoop indicano l’8 ottobre, mentre secondo SecurityWeek e CSO Online, che citano BeyondTrust e Mandiant, la correzione era completa il 9 ottobre.

Cronologia

Il primo sfruttamento noto risale al 29 agosto, contro un’istanza ospitata da BeyondTrust e un’appliance self-hosted. BeyondTrust ha scoperto l’intrusione il 28 settembre, dopo la notizia della compromissione delle appliance di un altro fornitore e un avviso generico di Mandiant. Secondo CSO Online, i sensori di BeyondTrust avevano segnalato subito l’elevazione dei privilegi, ma il triage automatico di una piattaforma di rilevamento di terze parti aveva chiuso gli allarmi come falsi positivi.

GTIG parla di «un numero ridotto» di organizzazioni colpite, senza escludere altre vittime prima della divulgazione. BeyondTrust non ha detto quanti clienti siano stati compromessi.

La catena d’attacco

Mandiant e GTIG descrivono un’intrusione costruita su una conoscenza approfondita dell’appliance:

1. Web shell: circa 11 minuti dopo la prima richiesta malevola compare nella cartella web SAWFLY, web shell PHP offuscata con comando e controllo cifrato.
2. Elevazione a root: /bin/sh viene copiata in /usr/bin/dbus-authd, assegnata a root e resa SUID.
3. Persistenza: uno script di avvio scrive una voce sudo senza password nel modello dei sudoers di BeyondTrust, che sopravvive a riavvii e ripristini della configurazione.
4. Credenziali: tentativi ripetuti con /ns/sbin/bt-secrets, lo strumento proprietario che gestisce password, chiavi API e credenziali degli endpoint, per svuotare l’archivio dei segreti.
5. Pulizia: cancellati oltre una dozzina di log di sistema, del server web e dell’applicazione.
6. Movimento laterale: con credenziali di amministratore compromesse, i permessi Jump Item e Team passano da «No Access» ad «Administrator», aprendo sessioni remote verso tutti i sistemi dell’elenco Jump Item. Il trasferimento file di RS serve a sottrarre documenti utili alla ricognizione, come gli inventari del software.
7. Tunnel: BARECLAW, tunneler SOCKS5 su misura, raggiunto modificando la configurazione HAProxy dell’appliance verso un listener locale nascosto.

In termini MITRE ATT&CK: T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell), T1548.001 (Setuid and Setgid), T1548.003 (Sudo and Sudo Caching), T1555 (Credentials from Password Stores), T1070.002 (Clear Linux or Mac System Logs), T1098 (Account Manipulation), T1572 (Protocol Tunneling).

Secondo BeyondTrust il gruppo cambia infrastruttura e strumenti a ogni vittima: le fonti non riportano indirizzi o hash. Gli indicatori pubblici sono di comportamento: /usr/bin/dbus-authd, voci sudo inattese, file PHP sconosciuti nella cartella web, modifiche a HAProxy, uso di bt-secrets, cambi dei permessi Jump Item e Team, log mancanti.

Chi è Armory Castle

Attivo almeno dall’ottobre 2023, il gruppo fa spionaggio a lungo termine contro servizi legali, fornitori SaaS, outsourcer, aziende tecnologiche ed enti governativi. Ha già sfruttato zero-day in Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282). Dopo la divulgazione delle falle Ivanti è passato allo sfruttamento di massa, e GTIG ritiene possibile lo stesso schema ora. Secondo Shadowserver, citato da BleepingComputer, oltre 1.400 istanze di Remote Support sono esposte su Internet.

Impatto per le aziende europee e italiane

Remote Support è un punto di accesso privilegiato: raggiunge postazioni e server e custodisce le credenziali per farlo. Chi lo usa per assistere i clienti, come fornitori di servizi gestiti, estende il rischio alle reti dei clienti: un tema di catena di fornitura centrale per NIS2. Una compromissione è un incidente da valutare per la notifica allo CSIRT Italia dell’ACN. Nella sanità questi strumenti aprono spesso l’accesso remoto a sistemi clinici gestiti da fornitori esterni.

Cosa fare subito

Per Mandiant ogni appliance raggiungibile da Internet con una versione vulnerabile durante la finestra di sfruttamento va considerata potenzialmente compromessa finché non è stata verificata.

1. Conserva le prove: snapshot dell’appliance prima di riavviarla, perché i clienti non possono esaminare il file system dell’host.
2. Aggiorna Remote Support e PRA con la patch BT26-05-RS.
3. Isola: blocca l’ingresso verso l’indirizzo pubblico sul firewall, non solo in /appliance; in uscita consenti solo gli endpoint di aggiornamento e licenza di BeyondTrust, registrando ogni connessione rifiutata.
4. Chiudi le sessioni attive e disattiva nuove sessioni, Jump Client, Jumpoint e account API da /login.
5. Ricostruisci da un’immagine pulita le appliance compromesse o dallo stato incerto, poi ridistribuisci Jump Client, Jumpoint e console per invalidare i token.
6. Ruota le credenziali dopo la patch e nell’ordine delle dipendenze, perché i nuovi segreti non finiscano su un sistema ancora controllato dall’attaccante. Per Mandiant vale anche per i clienti SaaS; BeyondTrust dice invece che non devono fare altro.
7. Restringi /login e /appliance per indirizzo o segmento di rete e attiva l’MFA sull’account Admin predefinito.
8. Cerca tracce da fine agosto: sessioni remote insolite verso i sistemi a valle, trasferimenti di file, nuovi permessi amministrativi.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali hanno vulnerabilità note: aiuta a trovare le appliance di assistenza remota da controllare. ARX Sentry raccoglie log ed eventi di computer, server e firewall, compresi accessi privilegiati e desktop remoto. Con ARX Trace gli analisti avviano raccolte e ricerche sulle macchine raggiunte dalle sessioni remote.

Ultimo aggiornamento: 16 ottobre 2026