Zero-day în BeyondTrust Remote Support (CVE-2026-102764) folosit pentru preluarea serverelor

O vulnerabilitate critică în BeyondTrust Remote Support — platforma de acces la distanță cunoscută anterior ca Bomgar — a fost exploatată ca zero-day cu săptămâni înainte să existe un patch. Google Threat Intelligence Group (GTIG) și Mandiant leagă activitatea de Armory Castle, un grup de spionaj cu legături în China, urmărit anterior ca UNC5221 / Warp Panda.

Ce s-a întâmplat

• Vulnerabilitatea. CVE-2026-102764 (CVSS 9.3) este o problemă de validare a originii într-o componentă internă de mesagerie din Remote Support. Mesajele nu sunt verificate corect în privința sursei, ceea ce, în anumite condiții, permite unui atacator de la distanță să efectueze operații pe fișiere pe appliance.
• Cronologia. Potrivit BeyondTrust, prima exploatare cunoscută a vizat un singur appliance self-hosted pe 29 august 2026. După ce, pe 27 septembrie, a devenit publică compromiterea unui alt furnizor de securitate, BeyondTrust a început o investigație și a descoperit acest atac. Clienții SaaS au primit patch-ul până pe 9 octombrie 2026.
• Lanțul de atac. Conform Mandiant, atacatorii au instalat un web shell PHP ușor (SAWFLY) cu comandă și control criptate, ascunzându-și traficul prin noduri VPN comerciale și routere casnice/de birou compromise. Apoi au:
  • obținut drepturi root printr-o copie SUID a shell-ului de sistem, deghizată ca /usr/bin/dbus-authd;
  • încercat să extragă parole, chei API și credențiale de pe endpoint-uri din depozitul de secrete al appliance-ului, prin utilitarul bt-secrets;
  • abuzat șabloane de configurare pentru a da unui cont de serviciu root fără parolă, păstrând accesul după reporniri;
  • folosit credențiale de administrator furate pentru a deschide sesiuni către sistemele din lista Jump Item și a extrage documente interne;
  • instalat BARECLAW, un tunel SOCKS5 personalizat scris în C, expus pe internet prin modificarea configurației HAProxy;
  • șters jurnalele de sistem, web și aplicație pentru a îngreuna investigația.

De ce contează

Appliance-urile de suport la distanță țin cheile infrastructurii: credențiale privilegiate și acces cu un click la stațiile pe care le administrează. Compromiterea unuia înseamnă, practic, acces la tot ce poate atinge.

Modelul este cunoscut. Același grup a fost asociat cu exploatarea zero-day a Citrix NetScaler (CVE-2023-4966) și Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282), vizând firme de avocatură, furnizori SaaS, companii de outsourcing, tehnologie și guverne. BeyondTrust avertizează că grupul folosește un zero-day selectiv, apoi trece la exploatarea în masă a tuturor instanțelor nepatch-uite imediat ce vulnerabilitatea devine publică. Furnizorul mai spune că, în evaluarea sa de lucru, atacatorul își alege din timp produsele-țintă și menține un model asistat de AI al acestora pentru a construi lanțuri de exploatare — o evaluare, nu o constatare confirmată, dar un motiv să ne așteptăm la o armare mai rapidă a vulnerabilităților.

Ce trebuie făcut

1. Aplicați patch-ul acum. Remote Support self-hosted 24.3.1 – 26.2.3: instalați manual patch-ul BT26-05-RS. Versiunile mai vechi de 24.3.1 trebuie mai întâi actualizate la o versiune suportată. Instanțele SaaS sunt deja corectate.
2. Presupuneți expunerea, apoi verificați. GTIG/Mandiant recomandă ca orice appliance accesibil din internet pe o versiune vulnerabilă în perioada de exploatare să fie tratat ca potențial compromis până la verificare.
3. Căutați artefactele cunoscute: un fișier neașteptat /usr/bin/dbus-authd (mai ales SUID/deținut de root), fișiere PHP necunoscute în directoarele web, modificări neobișnuite în /ns/config/haproxy.conf, utilizări ciudate ale /ns/sbin/bt-secrets, schimbări inexplicabile în scripturile de pornire sau șabloane și goluri în jurnale.
4. Rotiți tot ce a „văzut” appliance-ul. Dacă nu puteți exclude compromiterea, schimbați credențialele stocate sau folosite de appliance și verificați istoricul sesiunilor pentru accesări Jump Item atipice.
5. Reduceți expunerea. Restricționați interfața de administrare la rețele de încredere, trimiteți jurnalele în afara appliance-ului ca să nu poată fi șterse și setați alerte pentru tuneluri noi spre exterior.
6. Cunoașteți-vă perimetrul. Dispozitivele de acces la distanță sunt punctul de intrare preferat al acestui actor — păstrați un inventar actualizat al appliance-urilor expuse pe internet și al versiunilor lor, ca să puteți reacționa în ore, nu în săptămâni.

Credit: acest rezumat se bazează pe articolul publicat de The Hacker News (Ravie Lakshmanan, 16 oct. 2026), care citează avertizarea BeyondTrust și cercetarea Google Threat Intelligence Group și Mandiant.