استغلت مجموعة التجسس المرتبطة بالصين Armory Castle ثغرة أمنية في أجهزة BeyondTrust Remote Support منذ 29 أغسطس 2026، قبل أن يتوفر لها تصحيح، ضمن حملة تجسس طويلة الأمد. الثغرة، المسجلة تحت المعرف CVE-2026-102764، حصلت على درجة 9.3 وفق نظام CVSS، وتسمح بسبب التحقق غير السليم من مصدر الرسائل بتنفيذ عمليات على الملفات في أجهزة Remote Support.
حددت BeyondTrust العيب في 28 سبتمبر، بعد يوم من ظهور معلومات علنية عن استغلاله ضد مزود لأجهزة الأمن. وقالت الشركة إنها أعدت التصحيح بحلول 30 سبتمبر، لكنها أخرت طرحه لاختباره ومعالجة مسارات استغلال إضافية، قبل إصداره في 8 أكتوبر ضمن تحديث BT26-05-RS.
نطاق التأثر وإجراءات التصحيح
تتأثر جميع إصدارات Remote Support حتى الإصدار 26.2.3، بينما شمل التصحيح الإصدارات من 24.3.1 إلى 26.2.3. أما العملاء الذين يستخدمون إصداراً أقدم من 24.3.1 فعليهم الترقية إلى إصدار أحدث ثم تثبيت التصحيح. وأكدت BeyondTrust أن التحديث طُبق على جميع عملاء Remote Support SaaS بحلول 9 أكتوبر 2026، في حين يتعين على مستخدمي البيئات المستضافة ذاتياً تثبيته يدوياً إذا لم تكن التحديثات التلقائية مفعلة.
كيف نُفذ الاختراق؟
بحسب Mandiant وGoogle Threat Intelligence Group، استخدمت Armory Castle، المعروفة أيضاً باسم UNC5221 وWarp Panda، الثغرة للوصول الأولي إلى جهاز BeyondTrust مستضاف لدى الشركة وآخر مستضاف ذاتياً. بعد ذلك نشرت أداة Sawfly، وهي باب خلفي على هيئة PHP webshell يوفر اتصالاً مشفراً ثنائي الاتجاه مع خادم التحكم، إلى جانب أداة Bareclaw التي تعمل كنفق SOCKS5.
تمكنت المجموعة من السيطرة بصلاحيات الجذر على مضيف الجهاز، وجمع بيانات اعتماد، والحصول على امتيازات root دون كلمة مرور لحساب خدمة الموقع، ثم حذفت سجلات النظام وخادم الويب والتطبيقات لإخفاء آثارها. كما استخدمت بيانات اعتماد إدارية مخترقة لتعديل صلاحيات الحسابات والتحكم في أنظمة بعيدة، قبل استهداف نقاط نهاية داخلية.
استغل المهاجمون كذلك أدوات الدعم المدمجة في الجهاز للوصول إلى نظام الملفات بالكامل، واستخدموا خدمة نقل الملفات الأصلية في BeyondTrust لتنزيل مستندات داخلية حساسة من أجهزة المستخدمين واستخراجها، بما في ذلك قوائم بالبرمجيات المثبتة التي تساعد في استطلاع الشبكة.
لماذا يهم هذا الخبر؟
تكمن أهمية الحادث في أن جهاز Remote Support ليس مجرد نقطة وصول خارجية، بل يمكن أن يوفر للمهاجم طريقاً إلى حسابات إدارية وأنظمة داخلية وملفات مستخدمين. كما يوضح التسلسل أن التصحيح وحده لا يعالج بالضرورة آثار اختراق سابق، خصوصاً بعد استخدام webshell، سرقة بيانات اعتماد، ومحو سجلات. وتحتاج الجهات المتأثرة إلى تطبيق التحديث وفق مسار الإصدار المناسب ومراجعة الأجهزة المستضافة ذاتياً، مع التعامل مع أي جهاز استُغل قبل 8 أكتوبر باعتباره بحاجة إلى تحقيق جنائي واستعادة الثقة، وهي دلالة أمنية مستندة إلى أساليب الاختراق التي رصدها الباحثون.
تُعرف Armory Castle باستهداف مزودي SaaS وشركات التقنية والجهات الحكومية والخدمات القانونية ومتعهدِي خدمات الأعمال. وسبق رصدها وهي تستغل ثغرات يوم صفري في Citrix NetScaler وIvanti Connect Secure وDell RecoverPoint for Virtual Machines، ما يضع أجهزة الحافة والإدارة عن بُعد ضمن نطاق اهتمام مستمر لهذه المجموعة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.