A BeyondTrust alertou seus clientes sobre uma vulnerabilidade de segurança crítica na solução Remote Support (RS), depois de confirmar sua exploração em ataques de dia zero desde o fim de agosto. Identificada como CVE-2026-102764, a vulnerabilidade afeta as versões 26.2.3 e anteriores e permite que um atacante remoto sem privilégios contorne a autenticação e execute operações em arquivos nos dispositivos não corrigidos.
A empresa lançou a correção em 8 de outubro para clientes do Remote Support e do Privileged Remote Access que utilizam versões SaaS. Já os ambientes hospedados localmente devem ter a atualização instalada manualmente pelos administradores caso as atualizações automáticas não estejam ativadas. Embora os testes internos da BeyondTrust não tenham identificado uma forma de explorar a vulnerabilidade no Privileged Remote Access, o produto compartilha o código afetado com o Remote Support. Por isso, a empresa também lançou uma correção para ele e recomenda que seus clientes hospedados localmente a apliquem imediatamente.
Exploração para obter acesso e depois elevar privilégios
Pesquisadores da Mandiant e do Google Threat Intelligence Group identificaram os ataques e os atribuíram a um grupo chamado Armory Castle, anteriormente conhecido como UNC5221 e chamado de Warp Panda pela CrowdStrike. Suspeita-se que o grupo tenha ligação com a China.
Os atacantes exploraram a vulnerabilidade para obter acesso inicial aos dispositivos e depois elevaram seus privilégios a root ativando permissões Set User ID (SUID). Em seguida, implantaram o malware web Sawfly e a ferramenta Bareclaw para movimentação pela rede, apagaram registros para reduzir as chances de detecção e usaram credenciais comprometidas de Administrator para abrir sessões remotas em outros sistemas da rede.
Segundo a Mandiant, o acesso ao host com privilégios root deu aos atacantes a capacidade de acessar as credenciais armazenadas ou encaminhadas pelo dispositivo, modificar arquivos que persistem após reinicializações e redefinir configurações. Por isso, os pesquisadores recomendaram considerar qualquer dispositivo exposto à internet e executando uma versão afetada durante o período de exploração como potencialmente comprometido até que seja analisado.
Por que esta notícia é importante?
A vulnerabilidade reúne três fatores que aumentam sua gravidade: a existência de exploração real antes da correção, a posição do Remote Support na borda da rede e a possibilidade de acesso a credenciais usadas por equipes de suporte e sistemas conectados. A Shadowserver também monitora mais de 1.400 instâncias do BeyondTrust Remote Support expostas na internet, sem esclarecer quantos dispositivos foram protegidos ou representam armadilhas de teste.
Isso não significa que todos os dispositivos expostos estejam comprometidos, mas torna a verificação dos registros, a revisão de contas e arquivos e a instalação da correção uma prioridade imediata, especialmente nas organizações que utilizam versões hospedadas localmente.
Contexto da ameaça e questões em aberto
A Armory Castle tem um histórico de ataques a dispositivos de borda de rede, incluindo o Citrix NetScaler e o Ivanti Connect Secure, para obter acesso às redes das organizações e implantar malware personalizado. A Mandiant alertou para a possibilidade de expansão da exploração após a divulgação da CVE-2026-102764, como ocorreu em campanhas anteriores que começaram com a exploração seletiva de vulnerabilidades e depois se transformaram em atividade ampla após o surgimento de informações sobre elas.
A fonte não informa quantas organizações foram comprometidas na campanha atual nem se credenciais de clientes específicos foram roubadas. Portanto, instalar a correção continua sendo uma medida necessária, mas não substitui a investigação dos dispositivos que ficaram expostos durante a janela de exploração.