O grupo de espionagem ligado à China Armory Castle explorou uma vulnerabilidade de segurança em dispositivos BeyondTrust Remote Support desde 29 de agosto de 2026, antes que um patch estivesse disponível, como parte de uma campanha de espionagem de longo prazo. A vulnerabilidade, registrada sob o identificador CVE-2026-102764, recebeu uma pontuação de 9,3 segundo o sistema CVSS e, devido à validação inadequada da origem das mensagens, permite executar operações em arquivos nos dispositivos Remote Support.
A BeyondTrust identificou a falha em 28 de setembro, um dia depois do surgimento de informações públicas sobre sua exploração contra um fornecedor de dispositivos de segurança. A empresa afirmou ter preparado o patch até 30 de setembro, mas adiou seu lançamento para testá-lo e tratar caminhos adicionais de exploração, antes de disponibilizá-lo em 8 de outubro como parte da atualização BT26-05-RS.
Escopo do impacto e medidas de correção
Todas as versões do Remote Support até a versão 26.2.3 são afetadas, enquanto a correção abrange as versões de 24.3.1 a 26.2.3. Os clientes que utilizam uma versão anterior à 24.3.1 devem atualizar para uma versão mais recente e, em seguida, instalar o patch. A BeyondTrust confirmou que a atualização foi aplicada a todos os clientes do Remote Support SaaS até 9 de outubro de 2026, enquanto os usuários de ambientes hospedados localmente precisam instalá-la manualmente caso as atualizações automáticas não estejam ativadas.
Como a invasão foi realizada?
Segundo a Mandiant e o Google Threat Intelligence Group, a Armory Castle, também conhecida como UNC5221 e Warp Panda, utilizou a vulnerabilidade para obter acesso inicial a um dispositivo BeyondTrust hospedado pela empresa e a outro hospedado localmente. Depois, implantou a ferramenta Sawfly, um backdoor na forma de um webshell PHP que fornece uma conexão bidirecional criptografada com o servidor de comando e controle, além da ferramenta Bareclaw, que funciona como um túnel SOCKS5.
O grupo conseguiu assumir o controle do host do dispositivo com privilégios de root, coletar credenciais e obter privilégios de root sem senha para uma conta de serviço do site; em seguida, apagou registros do sistema, do servidor web e dos aplicativos para ocultar seus rastros. Também utilizou credenciais administrativas comprometidas para modificar as permissões das contas e controlar sistemas remotos, antes de atingir endpoints internos.
Os invasores também exploraram as ferramentas de suporte integradas ao dispositivo para obter acesso a todo o sistema de arquivos e utilizaram o serviço nativo de transferência de arquivos da BeyondTrust para baixar e exfiltrar documentos internos sensíveis dos dispositivos dos usuários, incluindo listas dos softwares instalados que ajudam no reconhecimento da rede.
Por que esta notícia é importante?
A importância do incidente está no fato de que um dispositivo Remote Support não é apenas um ponto de acesso externo, mas pode oferecer ao invasor um caminho para contas administrativas, sistemas internos e arquivos de usuários. A sequência também mostra que o patch, por si só, não necessariamente elimina os efeitos de uma invasão anterior, especialmente após o uso de um webshell, o roubo de credenciais e o apagamento de registros. As entidades afetadas precisam aplicar a atualização de acordo com o caminho de versão apropriado e revisar os dispositivos hospedados localmente, tratando qualquer dispositivo explorado antes de 8 de outubro como necessitado de investigação forense e restauração da confiança — uma indicação de segurança baseada nos métodos de invasão observados pelos pesquisadores.
A Armory Castle é conhecida por visar provedores de SaaS, empresas de tecnologia, órgãos governamentais, serviços jurídicos e prestadores de serviços empresariais. Anteriormente, foi observada explorando vulnerabilidades de dia zero no Citrix NetScaler, no Ivanti Connect Secure e no Dell RecoverPoint for Virtual Machines, o que coloca dispositivos de borda e de gerenciamento remoto no escopo de interesse contínuo desse grupo.