BeyondTrust Remote Support: zero-day exploatat de Armory Castle

Pe 15 octombrie BeyondTrust a publicat avizul BT26-05 despre o vulnerabilitate critică în Remote Support (RS), soluția de asistență la distanță folosită de help desk-uri și de echipele IT: CVE-2026-102764, cu un scor CVSS 4.0 de 9,3. În aceeași zi Mandiant și Google Threat Intelligence Group (GTIG) au atribuit exploatarea, începută pe 29 august, grupului Armory Castle, un grup de spionaj suspectat de legături cu China, cunoscut anterior ca UNC5221 și urmărit de CrowdStrike sub numele Warp Panda. Avizul BSI din Germania (CERT-Bund) preia aceeași atribuire. Patch-ul pentru instalările self-hosted este disponibil din 8 octombrie.

Vulnerabilitatea

Potrivit BSI, defectul provine dintr-o validare insuficientă a originii mesajelor într-o componentă internă de mesagerie: în anumite condiții, un atacator de la distanță, fără autentificare, poate efectua operații cu fișiere pe appliance. De aici, explică Mandiant, se ajunge la controlul gazdei și la toate credențialele pe care appliance-ul le păstrează sau le intermediază. BeyondTrust nu publică alte detalii tehnice cât timp clienții aplică patch-ul.

• Versiuni afectate: Remote Support până la 26.2.3 inclusiv.
• Corecție: patch-ul BT26-05-RS pentru versiunile 24.3.1–26.2.3, instalabil din interfața /appliance. Versiunile mai vechi de 24.3.1 trebuie mai întâi actualizate; actualizarea nu elimină o compromitere deja produsă.
• Privileged Remote Access (PRA): folosește același cod vulnerabil. BeyondTrust nu a găsit o cale de exploatare, dar a lansat patch-ul din prudență și recomandă aplicarea lui imediată.
• SaaS: instanțele cloud RS și PRA au fost corectate automat. Datele diferă: BleepingComputer și CyberScoop indică 8 octombrie, în timp ce SecurityWeek și CSO Online, citând BeyondTrust și Mandiant, spun că actualizarea era completă pe 9 octombrie.

Cronologie

Prima exploatare cunoscută datează din 29 august, împotriva unei instanțe găzduite de BeyondTrust și a unui appliance self-hosted. BeyondTrust a descoperit intruziunea pe 28 septembrie, după ce compromiterea appliance-urilor unui alt furnizor devenise publică și Mandiant trimisese un avertisment general. Potrivit CSO Online, senzorii BeyondTrust au semnalat în timp real escaladarea privilegiilor, dar triajul automat al unei platforme de detecție terțe a închis alertele ca fals pozitive.

GTIG vorbește despre „un număr redus” de organizații afectate, fără a exclude alte victime înainte de divulgare. BeyondTrust nu a spus câți clienți au fost compromiși.

Lanțul de atac

Mandiant și GTIG descriu o intruziune construită pe o cunoaștere aprofundată a appliance-ului:

1. Web shell: la circa 11 minute după prima cerere malițioasă apare în directorul web SAWFLY, un web shell PHP ofuscat, cu comandă și control criptate.
2. Escaladare la root: /bin/sh este copiat în /usr/bin/dbus-authd, atribuit lui root și marcat SUID.
3. Persistență: un script de pornire scrie o intrare sudo fără parolă în șablonul sudoers al BeyondTrust, care rezistă la reporniri și la resetarea configurației.
4. Credențiale: încercări repetate cu /ns/sbin/bt-secrets, instrumentul proprietar care gestionează parole, chei API și credențialele endpoint-urilor, pentru a extrage seiful de secrete.
5. Ștergerea urmelor: peste o duzină de loguri de sistem, ale serverului web și ale aplicației șterse.
6. Mișcare laterală: cu credențiale de administrator compromise, permisiunile Jump Item și Team ale contului trec de la „No Access” la „Administrator”, permițând sesiuni la distanță către toate sistemele din lista Jump Item. Transferul de fișiere din RS servește la furtul documentelor utile pentru recunoaștere, cum ar fi inventarele software.
7. Tunel: BARECLAW, un tunneler SOCKS5 personalizat, accesat prin modificarea configurației HAProxy a appliance-ului către un listener local ascuns.

În termeni MITRE ATT&CK: T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell), T1548.001 (Setuid and Setgid), T1548.003 (Sudo and Sudo Caching), T1555 (Credentials from Password Stores), T1070.002 (Clear Linux or Mac System Logs), T1098 (Account Manipulation), T1572 (Protocol Tunneling).

Potrivit BeyondTrust, grupul își schimbă infrastructura și instrumentele la fiecare victimă: sursele nu raportează adrese sau hash-uri. Indicatorii publici sunt comportamentali: /usr/bin/dbus-authd, intrări sudo neașteptate, fișiere PHP necunoscute în directorul web, modificări HAProxy, utilizarea bt-secrets, schimbări ale permisiunilor Jump Item și Team, loguri lipsă.

Cine este Armory Castle

Activ cel puțin din octombrie 2023, grupul face spionaj pe termen lung împotriva serviciilor juridice, furnizorilor SaaS, firmelor de externalizare a proceselor, companiilor tehnologice și instituțiilor guvernamentale. A mai exploatat zero-day-uri în Citrix NetScaler (CVE-2023-4966) și Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282). După divulgarea vulnerabilităților Ivanti a trecut la exploatare în masă, iar GTIG consideră posibil același tipar acum. Potrivit Shadowserver, citat de BleepingComputer, peste 1.400 de instanțe Remote Support sunt expuse pe Internet.

Impactul pentru companiile europene și italiene

Remote Support este un punct de acces privilegiat: ajunge la stații de lucru și servere și păstrează credențialele necesare. Cine îl folosește pentru a-și asista clienții, cum sunt furnizorii de servicii gestionate, extinde riscul la rețelele clienților: o problemă de lanț de aprovizionare centrală pentru NIS2. O compromitere este un incident de evaluat pentru notificarea către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). În sănătate, aceste instrumente oferă adesea acces la distanță la sisteme clinice administrate de furnizori externi.

Ce trebuie făcut acum

Pentru Mandiant, orice appliance accesibil de pe Internet cu o versiune vulnerabilă în perioada de exploatare trebuie considerat potențial compromis până când este verificat.

1. Păstrează dovezile: fă un snapshot al appliance-ului înainte de repornire, deoarece clienții nu pot examina sistemul de fișiere al gazdei.
2. Actualizează Remote Support și PRA cu patch-ul BT26-05-RS.
3. Izolează: blochează traficul de intrare către adresa publică din firewall, nu doar din /appliance; la ieșire permite doar endpoint-urile de actualizare și licențiere BeyondTrust și înregistrează fiecare conexiune refuzată.
4. Închide sesiunile active și dezactivează sesiunile noi, Jump Client, Jumpoint și conturile API din /login.
5. Reconstruiește dintr-o imagine curată appliance-urile compromise sau cu stare incertă, apoi redistribuie Jump Client, Jumpoint și consola pentru a invalida tokenurile.
6. Rotește credențialele după patch și în ordinea dependențelor, ca noile secrete să nu ajungă pe un sistem încă controlat de atacator. Pentru Mandiant, acest lucru este valabil și pentru clienții SaaS; BeyondTrust spune în schimb că aceștia nu trebuie să mai facă nimic.
7. Restricționează /login și /appliance după adresă IP sau segment de rețea și activează MFA pe contul Admin implicit.
8. Caută urme începând de la sfârșitul lui august: sesiuni la distanță neobișnuite către sistemele din aval, transferuri de fișiere, permisiuni administrative noi.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet și care au vulnerabilități cunoscute: te ajută să găsești appliance-urile de asistență la distanță care trebuie verificate. ARX Sentry colectează loguri și evenimente de la computere, servere și firewall-uri, inclusiv autentificări privilegiate și desktop la distanță. Cu ARX Trace, analiștii lansează colectări și căutări pe mașinile atinse de sesiunile la distanță.

Ultima actualizare: 16 octombrie 2026