ARMORY CASTLE kiberkémkedés
A Google Threat Intelligence Group és a Mandiant szerint az ARMORY CASTLE néven követett, feltételezett kínai kötődésű kiberkémcsoport már 2026 augusztusában kihasználta a BeyondTrust Remote Support egy akkor még ismeretlen sérülékenységét. A később CVE-2026-102764 azonosítót kapott, 9,3-as CVSS-besorolású hiba az üzenetek eredetének elégtelen ellenőrzéséből fakad, és megfelelő körülmények között hitelesítés nélküli fájlműveleteket tesz lehetővé az appliance-on. A BeyondTrust csak október 15-én hozta nyilvánosságra a sérülékenységet.
A sikeres behatolás után a támadók a SAWFLY nevű PHP webshellt telepítették. Ez titkosított parancsokat fogad, és megfelelő paraméter hiányában 404-es választ ad, hogy kevésbé legyen feltűnő az automatikus vizsgálatok számára. Az eredetileg korlátozott jogosultságú webes szolgáltatásfiókból ezután úgy jutottak root szintre, hogy a /bin/sh rendszerhéjat egy másik fájlba másolták, root tulajdonba adták, majd SUID jogosultsággal látták el.
A root hozzáférés birtokában a támadók a BeyondTrust saját bt-secrets segédprogramjával próbálták megszerezni az appliance által tárolt jelszavakat, API-kulcsokat és végponti hitelesítő adatokat, majd törölték az erre utaló naplókat. A tartós hozzáféréshez a rendszer indulási konfigurációját is módosították, miközben a BARECLAW nevű egyedi SOCKS5 tunnelerrel rejtett hálózati átjárót építettek ki. Kompromittált adminisztrátori fiókkal a Remote Support jogosultságait is megváltoztatták, így a támadók a rendszer által kezelt belső végpontok felé is tovább tudtak lépni, és fájlokat szereztek meg hálózati felderítéshez.
A CVE-2026-102764 a BeyondTrust Remote Support 26.2.3-ig terjedő támogatott verzióit érinti. A SaaS-környezeteket a gyártó már javította, az önállóan üzemeltetett rendszereknél viszont a BT26-05-RS javítás telepítése szükséges. A Mandiant arra is figyelmeztet, hogy a nyilvánosságra hozatal után szélesebb körű kihasználás következhet, ezért nemcsak a frissítés, hanem a korábbi kompromittálódás nyomainak vizsgálata is indokolt.
