شركة BeyondTrust تعالج ثغرة يوم صفر استُغلت في هجمات منذ أغسطس

أصدرت الشركة أيضاً تصحيحاً لبرنامج Privileged Remote Access كإجراء احترازي لأنه يتشارك في الكود المتأثر، رغم أن الاختبارات الداخلية لم تحدد طريقة لاستغلال الثغرة في هذا البرنامج.

أشارت الشركة إلى أن جهة تجسس يُشتبه في صلتها بالصين استغلت هذه الثغرة، وهي الجهة التي يطلق عليها باحثو Mandiant و Google Threat Intelligence Group اسم Armory Castle، بينما تسميها شركة CrowdStrike باسم Warp Panda. وأوضح باحثو Mandiant أن المهاجمين استخدموا الثغرة للوصول الأولي ثم رفعوا صلاحياتهم إلى مستوى الجذر عبر تفعيل أذونات Set User ID.

قام المهاجمون بنشر برمجيات خبيثة تشمل Sawfly web shell و Bareclaw tunneler، ومسحوا السجلات لتجنب الاكتشاف، ثم تحركوا عرضياً داخل الشبكات باستخدام بيانات اعتماد مسؤول مسروقة. وأكد باحثو Mandiant أن الوصول إلى مستوى الجذر منح المهاجمين القدرة على الوصول إلى جميع بيانات الاعتماد المخزنة وتعديل الملفات التي تبقى بعد إعادة التشغيل.

رصدت منظمة Shadowserver أكثر من 1,400 نسخة من Remote Support معرضة للخطر عبر الإنترنت، دون تحديد عدد النسخ التي تم تأمينها. ويُعرف عن مجموعة Armory Castle استهداف ثغرات يوم صفر في أجهزة حافة الشبكة، بما في ذلك أجهزة Citrix NetScaler و Ivanti Connect Secure.

ذكرت شركة Volexity أن مجموعة UNC5221 قامت بوضع أبواب خلفية في أكثر من 2,100 جهاز Ivanti في يناير 2024. وتأتي هذه الثغرة ضمن سلسلة من المشكلات في BeyondTrust، حيث استغل المهاجمون سابقاً الثغرة CVE-2026-1731 لنشر برامج الفدية، كما يُعتقد أن مجموعة Silk Typhoon المدعومة من الصين استغلت ثغرتين للوصول إلى أنظمة الشركة واختراق 17 نسخة من Remote Support كخدمة، بما في ذلك نسخة تابعة لوزارة الخزانة الأمريكية.