Die mit China verbundene Spionagegruppe Armory Castle nutzte seit dem 29. August 2026 eine Sicherheitslücke in BeyondTrust-Remote-Support-Geräten, bevor ein Patch dafür verfügbar war, im Rahmen einer langfristigen Spionagekampagne. Die unter der Kennung CVE-2026-102764 registrierte Schwachstelle erhielt nach dem CVSS-System einen Wert von 9,3 und ermöglicht aufgrund einer unzureichenden Überprüfung der Nachrichtenquelle die Ausführung von Dateioperationen auf Remote-Support-Geräten.
BeyondTrust identifizierte den Fehler am 28. September, einen Tag nachdem öffentliche Informationen über dessen Ausnutzung gegen einen Anbieter von Sicherheitsgeräten bekannt geworden waren. Das Unternehmen erklärte, den Patch bis zum 30. September vorbereitet zu haben, die Veröffentlichung jedoch zur Erprobung und zur Behebung weiterer Exploit-Pfade verzögert zu haben, bevor er am 8. Oktober im Rahmen des Updates BT26-05-RS veröffentlicht wurde.
Betroffener Umfang und Maßnahmen zur Behebung
Betroffen sind alle Versionen von Remote Support bis einschließlich Version 26.2.3; der Patch umfasste die Versionen 24.3.1 bis 26.2.3. Kunden, die eine Version vor 24.3.1 verwenden, müssen auf eine neuere Version aktualisieren und anschließend den Patch installieren. BeyondTrust bestätigte, dass das Update bis zum 9. Oktober 2026 auf alle Kunden von Remote Support SaaS angewendet worden war. Nutzer selbst gehosteter Umgebungen müssen es dagegen manuell installieren, sofern automatische Updates nicht aktiviert sind.
Wie wurde der Angriff durchgeführt?
Laut Mandiant und der Google Threat Intelligence Group nutzte Armory Castle, auch bekannt als UNC5221 und Warp Panda, die Schwachstelle für den Erstzugriff auf ein bei einem Unternehmen gehostetes und ein selbst gehostetes BeyondTrust-Gerät. Anschließend setzte die Gruppe das Tool Sawfly ein, eine als PHP-Webshell ausgeführte Hintertür, die eine verschlüsselte bidirektionale Verbindung mit dem Command-and-Control-Server bereitstellt, sowie das Tool Bareclaw, das als SOCKS5-Tunnel arbeitet.
Der Gruppe gelang es, die Kontrolle mit Root-Rechten über den Geräte-Host zu übernehmen, Zugangsdaten zu sammeln und Root-Berechtigungen ohne Passwort für ein Standortdienstkonto zu erlangen. Anschließend löschte sie System-, Webserver- und Anwendungsprotokolle, um ihre Spuren zu verwischen. Außerdem nutzte sie kompromittierte administrative Zugangsdaten, um Kontoberechtigungen zu ändern und entfernte Systeme zu steuern, bevor sie interne Endpunkte ins Visier nahm.
Die Angreifer nutzten zudem die integrierten Support-Tools des Geräts, um auf das gesamte Dateisystem zuzugreifen, und verwendeten den nativen Dateitransferdienst von BeyondTrust, um sensible interne Dokumente von Benutzergeräten herunterzuladen und zu exfiltrieren. Dazu gehörten auch Listen der installierten Software, die bei der Aufklärung des Netzwerks helfen.
Warum ist diese Nachricht wichtig?
Die Bedeutung des Vorfalls liegt darin, dass ein Remote-Support-Gerät nicht nur einen externen Zugangspunkt darstellt, sondern dem Angreifer auch einen Weg zu Administratorkonten, internen Systemen und Benutzerdaten bieten kann. Die Abfolge zeigt außerdem, dass ein Patch allein die Folgen eines früheren Einbruchs nicht zwangsläufig beseitigt, insbesondere nach dem Einsatz einer Webshell, dem Diebstahl von Zugangsdaten und dem Löschen von Protokollen. Betroffene Organisationen müssen das Update gemäß dem passenden Versionspfad anwenden und selbst gehostete Geräte überprüfen. Jedes Gerät, das vor dem 8. Oktober ausgenutzt wurde, sollte als untersuchungs- und vertrauenswiederherstellungsbedürftig behandelt werden – eine sicherheitsbezogene Schlussfolgerung, die sich auf die von den Forschern beobachteten Angriffsmethoden stützt.
Armory Castle ist dafür bekannt, SaaS-Anbieter, Technologieunternehmen, Regierungsstellen, Rechtsdienstleister und Anbieter von Geschäftsdienstleistungen anzugreifen. Die Gruppe wurde bereits dabei beobachtet, Zero-Day-Schwachstellen in Citrix NetScaler, Ivanti Connect Secure und Dell RecoverPoint for Virtual Machines auszunutzen. Damit gehören Edge- und Remote-Management-Geräte weiterhin zum Interessensbereich dieser Gruppe.