中国と関連するスパイ活動グループArmory Castleは、長期的なスパイ活動キャンペーンの一環として、パッチが提供される前の2026年8月29日からBeyondTrust Remote Supportのデバイスに存在する脆弱性を悪用していた。この脆弱性は識別子CVE-2026-102764として登録され、CVSSによる深刻度スコアは9.3であり、メッセージの送信元が適切に検証されないことにより、Remote Supportデバイス上でファイル操作を実行できる。
BeyondTrustは、セキュリティデバイスのプロバイダーに対する悪用に関する情報が公になった翌日の9月28日に、この欠陥を特定した。同社は9月30日までにパッチを準備したと述べたが、追加の悪用経路をテストして対処するため、提供を延期した。その後、10月8日にBT26-05-RSアップデートの一環としてリリースした。
影響範囲とパッチ適用手順
Remote Supportのバージョン26.2.3までのすべてのバージョンが影響を受ける一方、パッチには24.3.1から26.2.3までのバージョンが含まれている。24.3.1より前のバージョンを使用している顧客は、新しいバージョンにアップグレードしてからパッチをインストールする必要がある。BeyondTrustは、2026年10月9日までにすべてのRemote Support SaaS顧客へアップデートを適用したことを確認した。一方、自動アップデートが有効になっていないセルフホスト型環境のユーザーは、手動でインストールする必要がある。
侵害はどのように実行されたのか
MandiantとGoogle Threat Intelligence Groupによると、Armory Castleは、UNC5221およびWarp Pandaとしても知られており、この脆弱性を利用して、企業がホストするBeyondTrustデバイスとセルフホスト型の別のデバイスへ初期アクセスを取得した。その後、同グループはSawflyというツールを展開した。これは、制御サーバーとの暗号化された双方向通信を提供するPHP webshell形式のバックドアであり、SOCKS5トンネルとして機能するBareclawツールも展開した。
同グループはデバイスホストをroot権限で掌握し、認証情報を収集するとともに、サイトのサービスアカウントについてパスワードなしでroot権限を取得した。その後、痕跡を隠すためにシステム、Webサーバー、アプリケーションのログを削除した。また、侵害した管理者認証情報を使用してアカウント権限を変更し、リモートシステムを制御した後、内部エンドポイントを標的にした。
攻撃者はデバイスに組み込まれたサポートツールも悪用してファイルシステム全体へアクセスし、BeyondTrust固有のファイル転送サービスを利用して、ユーザーのデバイスから機密性の高い内部文書をダウンロードして持ち出した。これには、ネットワーク偵察に役立つインストール済みソフトウェアの一覧も含まれていた。
このニュースが重要な理由
このインシデントが重要なのは、Remote Supportデバイスが単なる外部アクセスの入口ではなく、攻撃者に管理者アカウント、内部システム、ユーザーファイルへの経路を提供する可能性があるためだ。また、この一連の流れは、特にwebshellの使用、認証情報の窃取、ログの消去が行われた後では、パッチだけでは過去の侵害の影響を必ずしも解消できないことを示している。影響を受けた組織は、適切なバージョンの経路に従ってアップデートを適用し、セルフホスト型のデバイスを確認する必要がある。また、10月8日より前に悪用されたデバイスについては、研究者が確認した侵害手法に基づくセキュリティ上の示唆として、フォレンジック調査と信頼の回復が必要なデバイスとみなすべきである。
Armory Castleは、SaaSプロバイダー、テクノロジー企業、政府機関、法律サービス、ビジネスサービスの請負業者を標的にすることで知られている。同グループはこれまでにも、Citrix NetScaler、Ivanti Connect Secure、Dell RecoverPoint for Virtual Machinesのゼロデイ脆弱性を悪用していることが確認されており、エッジデバイスとリモート管理デバイスは、同グループが継続的に関心を寄せる範囲に含まれている。