Armory Castle атаковала BeyondTrust Remote Support через zero-day
Связанная с Китаем кибершпионская группа Armory Castle использовала zero-day в BeyondTrust Remote Support, ранее известном как Bomgar, для захвата как минимум одного локально развёрнутого устройства 29 августа 2026 года. Уязвимость CVE-2026-102764 получила оценку CVSS 9,3: из-за недостаточной проверки источника сообщений во внутреннем компоненте удалённый атакующий мог выполнять файловые операции на appliance.
Исправление доступно, но локальные установки требуют действий
BeyondTrust сообщила, что обновления для всех клиентов Remote Support SaaS были развернуты к 9 октября. Пользователям самостоятельных инсталляций версий от 24.3.1 до 26.2.3 необходимо вручную установить патч BT26-05-RS.
Если используется версия старше 24.3.1, сначала потребуется обновить продукт до более новой версии, совместимой с исправлением. Расследование BeyondTrust началось после того, как 27 сентября стало известно об успешной эксплуатации уязвимости у другого поставщика защитных устройств.
Что происходило после проникновения
Google Threat Intelligence Group и Mandiant описали последующие действия атакующих. После успешной эксплуатации Armory Castle развёртывала лёгкий PHP-веб-шелл SAWFLY для интерактивного удалённого доступа и зашифрованного двустороннего управления.
Операторы использовали коммерческие VPN-выходы, а также скомпрометированные домашние и малые офисные маршрутизаторы, чтобы смешивать трафик с обычной сетевой активностью. Через веб-шелл они повышали привилегии, получали полный административный контроль над устройством и закреплялись так, чтобы доступ сохранялся после перезагрузки.
Среди выявленных техник — копирование /bin/sh в /usr/bin/dbus-authd, назначение владельца root и включение SUID. Такой файл запускался с правами владельца. Группа также пыталась извлечь пароли, API-ключи и учётные данные конечных точек через штатную утилиту /ns/sbin/bt-secrets.
Риск распространяется за пределы сервера поддержки
Получив административные учётные данные, злоумышленники проводили разведку в Remote Support и запускали сеансы к системам из списка Jump Item. Это давало доступ к файловой системе внутренних конечных точек для скачивания и вывода конфиденциальных документов.
Для туннелирования TCP-соединений применялся написанный на C SOCKS5-инструмент BARECLAW. Чтобы сделать его доступным из интернета, атакующие меняли файл /ns/config/haproxy.conf. Они также удаляли системные, веб-серверные и прикладные журналы, затрудняя обнаружение следов.
Armory Castle активна как минимум с октября 2023 года и ранее эксплуатировала уязвимости нулевого дня в Citrix NetScaler и Ivanti Connect Secure. BeyondTrust отмечает выборочное использование zero-day против конкретных целей с последующим переходом к массовой эксплуатации не обновлённых экземпляров после публикации информации о проблеме.
Что проверить организациям
Организациям с Remote Support, доступным из интернета в период эксплуатации и работающим на уязвимой версии, следует считать устройство потенциально скомпрометированным до завершения проверки. Практический минимум — установить требуемое обновление, проанализировать признаки веб-шелла и изменения конфигурации, проверить обращения к хранилищу секретов и активность удалённых сеансов к внутренним системам.