BeyondTrust oppdaterer for å fikse kritisk sårbarhet utnyttet i angrep siden august

BeyondTrust advarte kunder på torsdag om å oppdatere en kritisk feil i sin fjernstøtte (RS) som har blitt utnyttet i zero-day-angrep siden slutten av august. Fjernstøtte er selskapets løsning for bedriftsstøtte som hjelper IT-service-skrån, hjelpeskrån og kundestøtteteam med å feilsøke problemer på avstand. Feilen, sporet som CVE-2026-102764, er en aktivt utnyttet autentiseringsomgåelsessårbarhet som lar uprivilegierte fjernangripere utføre filoperasjoner på ikke-oppdaterte enheter og påvirker RS 26.2.3 eller tidligere. BeyondTrust oppdaterte sikkerhetsproblemet for alle fjernstøtte- og privilegert fjernadgangs-SaaS-kunder den 8. oktober, men selvvertede installasjoner må oppdateres manuelt hvis automatiske oppdateringer ikke er aktivert. Selv om selskapet delte svært begrensede detaljer om sårbarheten, sa de at zero-dagen ble misbrukt i det ville av en mistenkt Kina-tilknyttet etterretningsaktør som spores av Mandiant og Google Threat Intelligence Group (GTIG) sikkerhetsforskere som "Armory Castle" (tidligere UNC5221) og av selskapet CrowdStrike som "Warp Panda." Ifølge Mandiant-forskere, som oppdaget de første angrepene, utnyttet Armory Castle-hackere feilen for å få initial tilgang og eskalerte til root-rettigheter på kompromitterte enheter ved å aktivere Set User ID (SUID)-tillatelser. Deretter installerte de nye Sawfly-webshell og Bareclaw-tunnelerprogramvare, slettet loggene for å unngå oppdagelse, og beveget seg lateral gjennom offerets nettverk ved å åpne fjernsesjoner på nedstrøms-systemer ved hjelp av kompromitterte Administrator-legitimasjoner.

"Etter å ha etablert et fotfeste gjennom webshellen, eskalerte aktøren fra webtjenesten til root-nivåkontroll av enheten. Dette ga dem tilgang til alle legitimasjoner som enheten lagret eller formidlet, og evnen til å endre filer som overlever oppstart og konfigurasjonsnullstilling," sa Mandiant. "Enhver enhet som var tilgjengelig fra internett på en sårbar versjon under utnyttelsesvinduet, bør behandles som potensielt kompromittert inntil den har blitt gjennomgått." Armory Castle er kjent for å ta sikte på zero-day-sårbarheter i nettverksgrenseenheter, inkludert ulike Citrix NetScaler (CVE-2023-4966) og Ivanti Connect Secure (CVE-2023-46805 og CVE-2024-21887, deretter CVE-2025-0282) enheter, siden minst oktober 2023 for å bryte inn i bedriftsnettverk og slippe ny tilpasset programvare. Trusselanalyse-selskapet Volexity sa også i januar 2024 at UNC5221 hadde backdooret mer enn 2.100 Ivanti-enheter ved hjelp av GiftedVisitor-webshellen i angrep som kjeder CVE-2023-46805 og CVE-2024-21887 zero-dagene. "I tidligere kampanjer har ARMORY CASTLE utført omfattende og tilfeldige utnyttelser etter offentliggjøring av sårbarheter de hadde utnyttet selektivt som zero-dager, og løper for å infiltrere målorganisasjoner før oppdateringer blir implementert," la Mandiant til. "Det er mulig at vi vil observere lignende omfattende utnyttelsesforsøk knyttet til CVE-2026-102764." CVE-2026-102764 er den siste i en rekke BeyondTrust-feil som trusselaktører har utnyttet i det ville de siste årene.