Çin ile bağlantılı Armory Castle casusluk grubu, uzun süreli bir casusluk kampanyası kapsamında BeyondTrust Remote Support cihazlarındaki bir güvenlik açığını 29 Ağustos 2026'dan itibaren, bu açık için bir yama kullanıma sunulmadan önce istismar etti. CVE-2026-102764 tanımlayıcısıyla kaydedilen açık, CVSS sistemine göre 9,3 puan aldı ve mesajların kaynağının düzgün doğrulanmaması nedeniyle Remote Support cihazlarında dosya işlemleri gerçekleştirilmesine olanak tanıyor.
BeyondTrust açığı, bir gün önce bir güvenlik cihazı sağlayıcısına karşı istismar edildiğine ilişkin kamuya açık bilgilerin ortaya çıkmasının ardından 28 Eylül'de tespit etti. Şirket, yamayı 30 Eylül'e kadar hazırladığını, ancak ek istismar yollarını test etmek ve ele almak amacıyla yayımlanmasını ertelediğini belirtti. Yama, BT26-05-RS güncellemesi kapsamında 8 Ekim'de yayımlandı.
Etkilenen kapsam ve yama işlemleri
26.2.3 sürümüne kadar olan tüm Remote Support sürümleri etkileniyor; yama ise 24.3.1 ile 26.2.3 arasındaki sürümleri kapsıyor. 24.3.1'den daha eski bir sürüm kullanan müşterilerin daha yeni bir sürüme yükseltme yapması ve ardından yamayı yüklemesi gerekiyor. BeyondTrust, güncellemenin tüm Remote Support SaaS müşterilerine 9 Ekim 2026'ya kadar uygulandığını doğruladı. Otomatik güncellemeler etkin değilse kendi kendine barındırılan ortamların kullanıcılarının güncellemeyi manuel olarak yüklemesi gerekiyor.
İhlal nasıl gerçekleştirildi?
Mandiant ve Google Threat Intelligence Group'a göre Armory Castle; UNC5221 ve Warp Panda adlarıyla da biliniyor ve açığı, şirket tarafından barındırılan bir BeyondTrust cihazına ve kendi kendine barındırılan başka bir cihaza ilk erişim sağlamak için kullandı. Grup daha sonra, kontrol sunucusuyla şifreli çift yönlü bağlantı sağlayan PHP webshell biçimindeki bir arka kapı olan Sawfly aracını ve SOCKS5 tüneli olarak çalışan Bareclaw aracını dağıttı.
Grup, cihazın ana bilgisayarını root yetkileriyle ele geçirmeyi, kimlik bilgilerini toplamayı ve site hizmeti hesabı için parola olmadan root ayrıcalıkları elde etmeyi başardı; ardından izlerini gizlemek için sistem, web sunucusu ve uygulama günlüklerini sildi. Ayrıca ele geçirilmiş yönetici kimlik bilgilerini kullanarak hesap izinlerini değiştirdi ve uzak sistemleri kontrol etti; ardından dahili uç noktaları hedef aldı.
Saldırganlar, dosya sisteminin tamamına erişmek için cihazda yerleşik bulunan destek araçlarından da yararlandı ve kullanıcı cihazlarından hassas dahili belgeleri indirmek ve dışarı aktarmak için BeyondTrust'ın yerel dosya aktarım hizmetini kullandı. Bu belgeler arasında ağ keşfine yardımcı olan yüklü yazılım listeleri de bulunuyordu.
Bu haber neden önemli?
Olayın önemi, Remote Support cihazının yalnızca harici bir erişim noktası olmamasından; saldırgana yönetici hesaplarına, dahili sistemlere ve kullanıcı dosyalarına giden bir yol sağlayabilmesinden kaynaklanıyor. Süreç ayrıca, özellikle webshell kullanılması, kimlik bilgilerinin çalınması ve günlüklerin silinmesinin ardından yalnızca yama uygulanmasının önceki bir ihlalin izlerini mutlaka gidermediğini gösteriyor. Etkilenen kuruluşların güncellemeyi uygun sürüm yoluna göre uygulaması ve kendi kendine barındırılan cihazları gözden geçirmesi gerekiyor. Araştırmacıların gözlemlediği ihlal yöntemlerine dayanan bir güvenlik göstergesi olarak, 8 Ekim'den önce istismar edilen tüm cihazlar adli inceleme ve güvenin yeniden tesis edilmesini gerektiren cihazlar olarak ele alınmalı.
Armory Castle; SaaS sağlayıcılarını, teknoloji şirketlerini, devlet kurumlarını, hukuk hizmetlerini ve iş hizmetleri yüklenicilerini hedef almasıyla biliniyor. Grup daha önce Citrix NetScaler, Ivanti Connect Secure ve Dell RecoverPoint for Virtual Machines ürünlerindeki sıfır gün açıklarını istismar ederken gözlemlendi. Bu durum, uç ve uzaktan yönetim cihazlarını grubun sürekli ilgi alanına sokuyor.