BeyondTrust предупредила своих клиентов о критической уязвимости в решении Remote Support (RS), подтвердив её эксплуатацию в атаках нулевого дня с конца августа. Уязвимости присвоен идентификатор CVE-2026-102764; она затрагивает версии 26.2.3 и более ранние и позволяет удалённому атакующему без привилегий обойти аутентификацию и выполнять операции с файлами на устройствах без установленного исправления.
Компания выпустила исправление 8 октября для клиентов Remote Support и Privileged Remote Access, использующих версии SaaS. В самостоятельно размещённых средах администраторам необходимо установить обновление вручную, если автоматические обновления не включены. Хотя внутренние тесты BeyondTrust не выявили способа эксплуатации уязвимости в Privileged Remote Access, этот продукт использует общий с Remote Support уязвимый код. Поэтому компания также выпустила для него исправление и рекомендует клиентам самостоятельно размещённых систем применить его незамедлительно.
Эксплуатация для получения доступа и повышения привилегий
Исследователи Mandiant и Google Threat Intelligence Group обнаружили атаки и связали их с группировкой Armory Castle, ранее известной как UNC5221, а CrowdStrike называет её Warp Panda. Предполагается, что группа связана с Китаем.
Атакующие использовали уязвимость для первоначального доступа к устройствам, а затем повышали привилегии до root, включая разрешения Set User ID (SUID). После этого они разворачивали веб-шелл Sawfly и инструмент Bareclaw для перемещения по сети, удаляли журналы, чтобы снизить вероятность обнаружения, и использовали скомпрометированные учётные данные Administrator для открытия удалённых сеансов на других системах внутри сети.
По данным Mandiant, доступ к узлу с привилегиями root позволял атакующим получать доступ к учётным данным, хранившимся на устройстве или проходившим через него, изменять файлы, сохраняющиеся после перезагрузки, и сбрасывать настройки. Поэтому исследователи рекомендовали считать скомпрометированным любое устройство, которое было доступно через интернет и в период эксплуатации работало на затронутой версии, до проведения проверки.
Почему это важно?
Уязвимость сочетает три фактора, повышающих её опасность: наличие эксплуатации до выпуска исправления, расположение Remote Support на сетевом периметре и возможность доступа к учётным данным, используемым группами поддержки и подключёнными системами. Кроме того, Shadowserver отслеживает более 1 400 экземпляров BeyondTrust Remote Support, доступных в интернете, не уточняя, сколько устройств было защищено и сколько из них являются тестовыми ловушками.
Это не означает, что все доступные устройства взломаны, однако делает проверку журналов, анализ учётных записей и файлов, а также установку исправления непосредственным приоритетом, особенно для организаций, использующих самостоятельно размещённые версии.
Контекст угрозы и открытые вопросы
Armory Castle имеет историю атак на устройства сетевого периметра, включая Citrix NetScaler и Ivanti Connect Secure, для получения доступа к корпоративным сетям и развёртывания специализированного вредоносного ПО. Mandiant предупредила о возможном расширении эксплуатации после раскрытия информации о CVE-2026-102764, как это происходило в предыдущих кампаниях, которые начинались с выборочной эксплуатации уязвимостей, а после появления сведений о них превращались в масштабную активность.
Источник не указывает количество организаций, пострадавших от взлома в текущей кампании, и не сообщает, были ли украдены учётные данные конкретных клиентов. Поэтому установка исправления остаётся необходимым шагом, но не заменяет расследование на устройствах, которые были доступны в период эксплуатации.