Изследователи съобщават, че атакуващият събира идентификационни данни и краде чувствителна информация.
Хакер, за когото се подозира връзка с Китай, експлоатира уязвимост от тип нулев ден в BeyondTrust Remote Support от края на август като част от кампания за шпионаж, според доклад, публикуван в четвъртък от Google Threat Intelligence Group.
Атакуващият, проследяван под името Armory Castle, е внедрил персонализирани задни врати (backdoors) и е използвал административния достъп на инструмента за поддръжка, за да извлича идентификационни данни и да краде чувствителна информация, подпомагаща разузнаването.
Критичната уязвимост, проследявана като CVE-2026-102764, е свързана с невъзможността на вътрешни компоненти на Remote Support да потвърдят произхода на съобщение. При определени обстоятелства атакуващ може да извършва файлови операции върху засегнатото устройство.
BeyondTrust пусна корекция за сигурност на 9 октомври, която беше автоматично изпратена до клиентите на модела софтуер като услуга (SaaS). Клиентите със самостоятелно хоствани системи (self-hosted) трябва незабавно да извършат ръчно обновяване, ако преди това не са се регистрирали за автоматични актуализации, заявиха от BeyondTrust.
Заплашителната активност е открита в края на септември, когато Mandiant, звеното за реагиране при инциденти към GTIG, е разследвало уязвимост от тип нулев ден, насочена към периферни устройства в продукти на друг доставчик, става ясно от публикация в блога на BeyondTrust.
Mandiant е сигнализирала BeyondTrust и компанията е открила засегната SaaS инстанция. Дейността по експлоатация е проследена до края на август.
„Към момента знаем само за малък брой засегнати организации, но предвид прикрития характер на активността и използването на уязвимост от тип нулев ден е възможно и други организации да са били компрометирани преди оповестяването“, заяви Кели Вандерли, старши анализатор в GTIG, пред Cybersecurity Dive.
Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) добави CVE-2026-102764 към своя каталог с известни експлоатирани уязвимости (KEV). Федералните цивилни изпълнителни агенции имат краен срок до понеделник да защитят системите си.
Кибершпионин
Атакуващият, проследяван преди това като UNC5221, е познат субект за шпионаж, който е атакувал юридически услуги, правителствени структури, технологични компании, SaaS доставчици и подизпълнители на бизнес процеси, според публикацията на BeyondTrust.
„Armory Castle е отличен пример защо технологиите за периферия и отдалечен достъп остават едни от най-ценните мишени за оператори, подкрепяни от държави“, заяви Джъстин Мур, директор по операции срещу противници в Arctic Wolf, пред Cybersecurity Dive. „Те се намират на границата на корпоративната мрежа, като същевременно разполагат с привилегирован достъп до всичко зад нея.“
Прикрито поведение
В този случай атакуващият е внедрил персонализиран зловреден софтуер, който не е бил идентифициран досега. Той включва PHP уеб шел, наречен Sawfly, осигуряващ криптирана C2 комуникация, съобщи Mandiant. Киберпрестъпникът е получил достъп на ниво root до хоста и е успял да получи достъп до всички идентификационни данни, съхранявани на устройството. Внедрен е бил и персонализиран SOCKS5 прокси тунел, наречен Bareclaw.
Злонамереният субект се е насочил към базата данни за управление на тайни на устройството, за да събира идентификационни данни. Атакуващият се е придвижил странично (lateral movement), за да получи административни привилегии и след това достъп до файлове. Вградената услуга за пренос на файлове на BeyondTrust е била използвана за изтегляне на чувствителна информация с цел провеждане на разузнаване.
Субектът, който CrowdStrike проследява като Warp Panda, е активен от 2023 г. Преди това Mandiant проследи същия автор на заплахата в кампания, насочена към CVE-2025-22457 – критична уязвимост в Ivanti Connect Secure.
От BeyondTrust заявиха, че клиентите трябва да намалят излагането на риск, като ограничат административните интерфейси само до доверени мрежи. Екипите по сигурност трябва също така да препращат системните логове и събитията от сесиите на устройството към платформата за управление на информация и събития за сигурност (SIEM), тъй като при предишни атаки киберпрестъпникът е изтривал криминалистични доказателства.
CISA призова клиентите незабавно да инсталират корекции за сигурност на своите системи в препоръка, публикувана късно в петък. Агенцията уточни, че обновяването засяга BeyondTrust Remote Support версии 26.2.3, но отбеляза, че актуализацията работи само за поддържани версии 24.3.1 и по-нови.
Клиентите на самостоятелно хоствани решения на BeyondTrust, използващи по-стари версии, трябва първо да надградят до поддържана версия и след това да приложат корекцията за сигурност. Клиентите трябва също така да прегледат насоките от BeyondTrust с подробна информация за това как да защитят връзките си.
Бележка на редактора: Актуализирано с допълнителни насоки от CISA.