Sicherheit · 19. Oktober 2026
Chinesische Spionagegruppe nutzte Zero-Day-Lücke in BeyondTrust für Serverübernahme
Die mit China verbundene Cyber-Spionagegruppe Armory Castle hat eine zuvor unbekannte Sicherheitslücke in der Software BeyondTrust Remote Support ausgenutzt, um die Kontrolle über einen ferngesteuften Support-Server zu erlangen. Der Vorfall ereignete sich Ende August 2026 und betraf ein selbst gehostetes Gerät des Herstellers.
Die Schwachstelle, die unter der Bezeichnung CVE-2026-102764 geführt wird, weist einen Schweregrad von 9,3 auf der CVSS-Skala auf. Es handelt sich um einen Fehler bei der Überprüfung des Ursprungs in einer internen Nachrichtenkomponente. Diese Lücke ermöglichte es einem entfernten Angreifer, unter bestimmten Bedingungen Dateioperationen auf dem betroffenen Gerät durchzuführen. Das Unternehmen bestätigte, dass die internen Komponenten den Ursprung der empfangenen Nachrichten nicht ausreichend validierten.
Nach Angaben des Zeitplans von BeyondTrust nutzte die Gruppe Armory Castle, die früher auch als UNC5221 oder Warp Panda bekannt war, diese Zero-Day-Lücke am 29. August 2026 aus. Erst am 27. September 2026 wurde eine erfolgreiche Ausnutzung bei einem anderen Anbieter von Sicherheitsgeräten öffentlich bekannt. Dies veranlasste BeyondTrust, eigene Untersuchungen einzuleiten, um nach ähnlichen Aktivitäten zu suchen. Die Gruppe ist seit Oktober 2023 aktiv und hat in der Vergangenheit bereits Zero-Day-Lücken in Produkten anderer Hersteller für langfristige Nachrichtensammlung ausgenutzt.
Als Folge eines erfolgreichen Kompromittierungsversuchs wird eine leichte PHP-Web-Shell mit dem Codenamen SAWFLY bereitgestellt. Diese dient dem interaktiven Fernzugriff sowie einer bidirektionalen verschlüsselten Kommunikation für die Befehlssteuerung. Die Betreiber nutzen kommerzielle VPN-Ausgangsknoten und kompromittierte Router in Privathaushalten sowie kleinen Büros, um ihren Datenverkehr mit regulärem Netzwerkverkehr zu vermischen. Über die Web-Shell eskalieren sie Berechtigungen, erlangen die volle administrative Kontrolle über das Gerät und etablieren eine Persistenz, die auch Neustarts des Systems überdauert.
Die Eindringlinge versuchten zudem, Zugangsdaten zu stehlen, indem sie gespeicherte Geheimnisse des Geräts auslasen. Durch den Missbrauch des administrativen Zugriffs gelangten sie zu nachgelagerten Systemen und ermöglichten laterale Bewegungen innerhalb der Netzwerke. Die Analyse ergab, dass die Angreifer über ein tiefes Verständnis der internen Abläufe der BeyondTrust-Geräte verfügten, was sich im Missbrauch proprietärer Kommandozeilen-Dienstprogramme sowie von Konfigurationsvorlagen zeigte.
Korrekturen für diese Sicherheitslücke wurden am 9. Oktober 2026 an alle Kunden des Cloud-Dienstes verteilt. Kunden mit selbst gehosteten Installationen, die Versionen von 24.3.1 bis 26.2.3 verwenden, wird empfohlen, das Update BT26-05-RS manuell einzuspielen. Für ältere Versionen ist ein Upgrade auf eine neuere Softwareversion erforderlich, um die Fehlerbehebung anwenden zu können. Die Behörde CISA hat die Schwachstelle in ihren Katalog bekanntermaßen ausgenutzter Sicherheitslücken aufgenommen und Bundesbehörden verpflichtet, die Patches bis zum 19. Oktober 2026 zu installieren.
Experten gehen davon aus, dass die Angreifer hochwertige Softwareziele im Voraus auswählen und funktionierende Modelle der Zielprodukte in einem Kontext künstlicher Intelligenz vorhalten, um fortlaufend Exploit-Ketten zu entwickeln. Sobald eine Schwachstelle öffentlich wird, geht die Gruppe typischerweise zu einer breiten Ausnutzung aller noch ungepatchten Instanzen über. Alle Geräte, die während des Zeitraums der Ausnutzung über das Internet erreichbar waren und eine anfällige Version nutzten, sollten als potenziell kompromittiert betrachtet werden, bis eine Überprüfung stattgefunden hat.