Китайская группировка атаковала серверы BeyondTrust через уязвимость нулевого дня

Связанная с Китаем кибершпионская группировка, которую отслеживают под именем Armory Castle (ранее UNC5221 или Warp Panda), использовала недавно раскрытую уязвимость в продукте BeyondTrust Remote Support (бывший Bomgar) в качестве «нулевого дня» ещё в конце августа 2026 года.

Брешь получила идентификатор CVE-2026-102764 и оценку 9,3 по шкале CVSS. Речь идёт о некорректной проверке источника сообщений во внутреннем компоненте обмена данными: по словам BeyondTrust, компонент недостаточно надёжно подтверждал происхождение получаемых сообщений, из-за чего при определённых условиях удалённый злоумышленник мог выполнять файловые операции на устройстве.

Сроки и исправления

Патчи для всех клиентов облачной версии Remote Support были развёрнуты к 9 октября 2026 года. Пользователям версий для собственных серверов (с 24.3.1 по 26.2.3) предложено вручную установить обновление BT26-05-RS, а тем, у кого версия старше 24.3.1, придётся сначала перейти на более новый выпуск.

По хронологии, которую привела компания, Armory Castle атаковала как «нулевой день» единственное самостоятельно размещённое устройство 29 августа 2026 года. Расследование началось позже: 27 сентября стало публично известно об успешной атаке на продукт другого поставщика защитных устройств, и это побудило BeyondTrust искать похожую активность.

Почерк группировки

Armory Castle известна с октября 2023 года и прежде эксплуатировала «нулевые дни» в Citrix NetScaler и Ivanti Connect Secure, атакуя юридические фирмы, SaaS-провайдеров, аутсорсеров, технологические компании и государственные структуры ради долгосрочного сбора разведданных. По оценке BeyondTrust, группа заранее выбирает ценные программные цели и поддерживает «рабочую модель» атакуемых продуктов в некоем ИИ-контексте, с помощью которого постоянно разрабатывает цепочки эксплойтов. Пока уязвимость остаётся тайной, её применяют точечно; как только она становится публичной, в ход идёт массовая атака на все непропатченные экземпляры.

Компания Mandiant (принадлежит Google) описала дальнейшие действия: после взлома разворачивается лёгкий PHP-веб-шелл под кодовым именем SAWFLY для интерактивного доступа и шифрованного управления. Трафик маскируется под обычный через коммерческие VPN-узлы и взломанные домашние и офисные маршрутизаторы.

Затем злоумышленники повышали привилегии до root (копируя системную оболочку в файл с SUID-правами), извлекали пароли и ключи API из встроенной базы секретов через фирменную утилиту bt-secrets, выходили на подчинённые системы по списку Jump Item и выгружали внутренние документы. Для туннелирования использовался самописный SOCKS5-прокси BARECLAW, а следы заметались удалением системных, веб- и прикладных журналов.

Исследователи подчёркивают глубокое знание атакующими внутреннего устройства техники BeyondTrust. Любое устройство, которое было доступно из интернета на уязвимой версии в период эксплуатации, следует считать потенциально скомпрометированным, пока не проведена проверка.

Источник: The Hacker News