Связанная с Китаем шпионская группа Armory Castle эксплуатировала уязвимость в устройствах BeyondTrust Remote Support с 29 августа 2026 года, до появления исправления для нее, в рамках длительной шпионской кампании. Уязвимость, зарегистрированная под идентификатором CVE-2026-102764, получила оценку 9,3 по системе CVSS и из-за ненадлежащей проверки источника сообщений позволяет выполнять операции с файлами на устройствах Remote Support.
BeyondTrust выявила дефект 28 сентября, через день после появления публичной информации о его эксплуатации против поставщика устройств безопасности. Компания заявила, что подготовила исправление к 30 сентября, но отложила его выпуск для тестирования и устранения дополнительных путей эксплуатации, а затем выпустила его 8 октября в составе обновления BT26-05-RS.
Масштаб воздействия и меры по исправлению
Затронуты все версии Remote Support вплоть до версии 26.2.3, а исправление охватывает версии с 24.3.1 по 26.2.3. Клиенты, использующие версию старше 24.3.1, должны обновиться до более новой версии, а затем установить исправление. BeyondTrust подтвердила, что обновление было применено ко всем клиентам Remote Support SaaS к 9 октября 2026 года, тогда как пользователи сред с самостоятельным размещением должны установить его вручную, если автоматические обновления не включены.
Как был осуществлен взлом?
По данным Mandiant и Google Threat Intelligence Group, Armory Castle, также известная как UNC5221 и Warp Panda, использовала уязвимость для первоначального доступа к одному устройству BeyondTrust, размещенному у компании, и еще одному устройству с самостоятельным размещением. Затем она развернула инструмент Sawfly — бэкдор в виде PHP-webshell, обеспечивающий зашифрованное двунаправленное соединение с сервером управления, — а также инструмент Bareclaw, работающий как туннель SOCKS5.
Группа получила контроль с правами root над хостом устройства, собрала учетные данные и получила привилегии root без пароля для учетной записи службы сайта, после чего удалила журналы системы, веб-сервера и приложений, чтобы скрыть следы. Она также использовала скомпрометированные административные учетные данные для изменения разрешений учетных записей и управления удаленными системами, прежде чем перейти к атаке внутренних конечных точек.
Злоумышленники также использовали встроенные в устройство инструменты поддержки для получения полного доступа к файловой системе и задействовали встроенную службу передачи файлов BeyondTrust для загрузки и извлечения конфиденциальных внутренних документов с устройств пользователей, включая списки установленного программного обеспечения, помогающие при разведке сети.
Почему эта новость важна?
Важность инцидента заключается в том, что устройство Remote Support является не просто внешней точкой доступа: оно может предоставить злоумышленнику путь к административным учетным записям, внутренним системам и пользовательским файлам. Последовательность событий также показывает, что одно лишь исправление не обязательно устраняет последствия предыдущего взлома, особенно после использования webshell, кражи учетных данных и удаления журналов. Затронутым организациям необходимо применить обновление в соответствии с подходящим путем обновления версии и проверить устройства с самостоятельным размещением, считая любое устройство, эксплуатировавшееся до 8 октября, нуждающимся в криминалистическом расследовании и восстановлении доверия; это вывод, основанный на методах взлома, зафиксированных исследователями.
Armory Castle известна тем, что атакует поставщиков SaaS, технологические компании, государственные учреждения, юридические организации и подрядчиков в сфере бизнес-услуг. Ранее ее замечали при эксплуатации уязвимостей нулевого дня в Citrix NetScaler, Ivanti Connect Secure и Dell RecoverPoint for Virtual Machines, что помещает периферийные устройства и системы удаленного управления в сферу постоянного интереса этой группы.