El grupo de espionaje vinculado a China Armory Castle explotó una vulnerabilidad de seguridad en dispositivos BeyondTrust Remote Support desde el 29 de agosto de 2026, antes de que hubiera un parche disponible, como parte de una campaña de espionaje de larga duración. La vulnerabilidad, registrada con el identificador CVE-2026-102764, obtuvo una puntuación de 9,3 según el sistema CVSS y, debido a una validación incorrecta del origen de los mensajes, permite ejecutar operaciones sobre archivos en dispositivos Remote Support.
BeyondTrust identificó el fallo el 28 de septiembre, un día después de que apareciera información pública sobre su explotación contra un proveedor de dispositivos de seguridad. La empresa afirmó que había preparado el parche para el 30 de septiembre, pero retrasó su publicación para probarlo y abordar vías de explotación adicionales, antes de lanzarlo el 8 de octubre como parte de la actualización BT26-05-RS.
Alcance de la afectación y medidas de corrección
Todos los lanzamientos de Remote Support hasta la versión 26.2.3 están afectados, mientras que el parche abarca las versiones de la 24.3.1 a la 26.2.3. Los clientes que utilicen una versión anterior a la 24.3.1 deben actualizar a una versión más reciente y después instalar el parche. BeyondTrust confirmó que la actualización se aplicó a todos los clientes de Remote Support SaaS para el 9 de octubre de 2026, mientras que los usuarios de entornos autohospedados deben instalarla manualmente si las actualizaciones automáticas no están activadas.
¿Cómo se llevó a cabo el ataque?
Según Mandiant y Google Threat Intelligence Group, Armory Castle, también conocida como UNC5221 y Warp Panda, utilizó la vulnerabilidad para obtener acceso inicial a un dispositivo BeyondTrust alojado por la empresa y a otro autohospedado. Después desplegó Sawfly, una puerta trasera en forma de PHP webshell que proporciona una conexión cifrada bidireccional con el servidor de control, junto con Bareclaw, una herramienta que funciona como túnel SOCKS5.
El grupo logró tomar el control con privilegios de root sobre el host del dispositivo, recopilar credenciales y obtener privilegios de root sin contraseña para una cuenta de servicio del sitio web; posteriormente, eliminó registros del sistema, del servidor web y de las aplicaciones para ocultar sus rastros. También utilizó credenciales administrativas comprometidas para modificar los permisos de las cuentas y controlar sistemas remotos, antes de dirigirse a puntos finales internos.
Los atacantes también aprovecharon las herramientas de soporte integradas en el dispositivo para acceder al sistema de archivos completo y utilizaron el servicio nativo de transferencia de archivos de BeyondTrust para descargar y extraer documentos internos sensibles de los dispositivos de los usuarios, incluidas listas del software instalado que ayudan al reconocimiento de la red.
¿Por qué es importante esta noticia?
La importancia del incidente radica en que un dispositivo Remote Support no es simplemente un punto de acceso externo, sino que puede proporcionar al atacante una vía hacia cuentas administrativas, sistemas internos y archivos de los usuarios. La secuencia también demuestra que el parche por sí solo no remedia necesariamente las consecuencias de un compromiso anterior, especialmente después del uso de un webshell, el robo de credenciales y la eliminación de registros. Las entidades afectadas deben aplicar la actualización conforme a la ruta de versión correspondiente y revisar los dispositivos autohospedados, tratando cualquier dispositivo explotado antes del 8 de octubre como uno que requiere una investigación forense y el restablecimiento de la confianza; esta es una consideración de seguridad basada en las técnicas de ataque observadas por los investigadores.
Armory Castle es conocida por atacar proveedores de SaaS, empresas tecnológicas, organismos gubernamentales, servicios jurídicos y contratistas de servicios empresariales. Anteriormente se la observó explotando vulnerabilidades de día cero en Citrix NetScaler, Ivanti Connect Secure y Dell RecoverPoint for Virtual Machines, lo que sitúa los dispositivos perimetrales y de administración remota dentro del ámbito de interés constante de este grupo.