Η ευπάθεια zero-day BeyondTrust στο προϊόν Remote Support (παλαιότερα Bomgar) αξιοποιήθηκε από την κινεζικών συμφερόντων ομάδα κυβερνοκατασκοπείας Armory Castle ήδη από τα τέλη Αυγούστου 2026, πριν γίνει γνωστή δημόσια. Το κενό ασφαλείας έχει αξιολογηθεί με 9,3 στα 10 στην κλίμακα CVSS και επιτρέπει σε απομακρυσμένο εισβολέα να εκτελέσει ενέργειες σε αρχεία της συσκευής. Η CISA το έχει ήδη εντάξει στον κατάλογο των ευπαθειών που εκμεταλλεύονται ενεργά.
Ευπάθεια zero-day BeyondTrust: τι ακριβώς διορθώνει η BeyondTrust
Η ευπάθεια έχει κωδικό CVE-2026-102764 και αφορά ανεπαρκή έλεγχο της προέλευσης μηνυμάτων σε εσωτερικό στοιχείο επικοινωνίας του Remote Support. Σύμφωνα με την εταιρεία, τα εσωτερικά components δεν επαλήθευαν επαρκώς από πού προέρχονταν τα μηνύματα που λάμβαναν, και υπό προϋποθέσεις αυτό επέτρεπε πράξεις σε αρχεία της συσκευής.
Οι πελάτες SaaS έχουν ήδη λάβει το patch από τις 9 Οκτωβρίου 2026. Όσοι διατηρούν δική τους εγκατάσταση (self-hosted) με εκδόσεις από 24.3.1 έως 26.2.3 πρέπει να εφαρμόσουν χειροκίνητα το patch BT26-05-RS. Όσοι τρέχουν παλαιότερη έκδοση από την 24.3.1 θα πρέπει πρώτα να αναβαθμίσουν σε νεότερη, ώστε να μπορέσουν να εγκαταστήσουν τη διόρθωση.
Η Armory Castle και η τακτική «πρώτα επιλεκτικά, μετά μαζικά»
Η Armory Castle, γνωστή παλαιότερα ως UNC5221 ή Warp Panda, δραστηριοποιείται από τον Οκτώβριο του 2023. Έχει ιστορικό εκμετάλλευσης zero-day σε συσκευές Citrix NetScaler και Ivanti Connect Secure, με στόχους σε νομικές υπηρεσίες, παρόχους SaaS, εταιρείες outsourcing, τεχνολογία και κυβερνήσεις, με σκοπό τη μακροχρόνια συλλογή πληροφοριών.
Στην περίπτωση της BeyondTrust, η εκμετάλλευση καταγράφηκε σε μία μόνο self-hosted συσκευή στις 29 Αυγούστου 2026. Στις 27 Σεπτεμβρίου έγινε δημόσια γνωστή επιτυχής εκμετάλλευση συσκευής άλλου παρόχου ασφάλειας, γεγονός που ώθησε την εταιρεία να ξεκινήσει έρευνα για παρόμοια δραστηριότητα. Η BeyondTrust σημειώνει ότι η ομάδα χρησιμοποιεί ένα zero-day επιλεκτικά και, μόλις η ευπάθεια γίνει γνωστή, στρέφεται μαζικά σε κάθε ανεπιδιόρθωτη εγκατάσταση. Η εκτίμησή της είναι ότι ο παράγοντας επιλέγει εκ των προτέρων στόχους υψηλής αξίας και διατηρεί σε περιβάλλον AI ένα μοντέλο των προϊόντων που στοχεύει, για να αναπτύσσει αλυσίδες exploit.
Πώς εξελίχθηκε η εισβολή μετά την παραβίαση
Σύμφωνα με τη Mandiant και την Google Threat Intelligence Group, μετά την επιτυχή παραβίαση εγκαθίσταται ένα ελαφρύ PHP web shell με την ονομασία SAWFLY, που δίνει διαδραστική πρόσβαση και κρυπτογραφημένη επικοινωνία με τον διακομιστή εντολών. Οι εισβολείς κρύβονται πίσω από εμπορικούς κόμβους VPN και παραβιασμένους οικιακούς ή μικρών γραφείων routers.
Στη συνέχεια κλιμακώνουν δικαιώματα, αποκτούν πλήρη διαχειριστικό έλεγχο και εξασφαλίζουν persistence που επιβιώνει των επανεκκινήσεων. Μεταξύ άλλων:
- αντιγράφουν το
/bin/shστο/usr/bin/dbus-authdμε SUID δικαιώματα για root πρόσβαση· - επιχειρούν να αντλήσουν κωδικούς, API keys και διαπιστευτήρια από τη βάση μυστικών της συσκευής·
- χρησιμοποιούν τα Jump Items για απομακρυσμένες συνεδρίες σε εσωτερικά συστήματα και εξαγωγή ευαίσθητων εγγράφων·
- στήνουν τούνελ μέσω του προσαρμοσμένου SOCKS5 proxy BARECLAW και σβήνουν συστηματικά τα logs.
Οι ερευνητές επισημαίνουν ότι η ομάδα επέδειξε βαθιά γνώση της εσωτερικής αρχιτεκτονικής των συσκευών BeyondTrust.
Γιατί έχει σημασία
Ένα σύστημα απομακρυσμένης υποστήριξης έχει από τη φύση του πρόσβαση σε πολλούς εσωτερικούς υπολογιστές και αποθηκεύει διαπιστευτήρια. Η παραβίασή του δίνει στον εισβολέα ένα «κλειδί» για ολόκληρο το δίκτυο. Το περιστατικό επιβεβαιώνει και ένα επαναλαμβανόμενο μοτίβο: συσκευές στην άκρη του δικτύου, εκτεθειμένες στο internet, αποτελούν τον προτιμώμενο στόχο ομάδων κατασκοπείας. Επιπλέον, όπως προειδοποιούν οι ερευνητές, κάθε συσκευή προσβάσιμη από το internet σε ευάλωτη έκδοση κατά το διάστημα εκμετάλλευσης πρέπει να θεωρείται πιθανώς παραβιασμένη μέχρι να ελεγχθεί. Το απλό patch, επομένως, δεν αρκεί αν η εισβολή έχει ήδη γίνει.
Τι πρέπει να κάνετε
- Εφαρμόστε άμεσα το patch BT26-05-RS ή αναβαθμίστε σε υποστηριζόμενη έκδοση αν χρησιμοποιείτε παλαιότερη της 24.3.1.
- Περιορίστε την εξωτερική πρόσβαση στη συσκευή Remote Support μόνο στις απαραίτητες υπηρεσίες.
- Πραγματοποιήστε network και memory forensics και αναζητήστε άγνωστες προνομιούχες ή διαχειριστικές συνεδρίες.
- Απομονώστε κάθε ύποπτη συσκευή, κρατήστε snapshot (για virtual) ή forensic image (για φυσικές συσκευές) και ανακατασκευάστε από γνωστή καθαρή κατάσταση.
- Θεωρήστε εκτεθειμένους τους κωδικούς, τα API keys και τα διαπιστευτήρια που φυλάσσονταν στη συσκευή και αλλάξτε τα.
- Ελέγξτε τα συστήματα που εμφανίζονται στη λίστα Jump Item για ασυνήθιστη δραστηριότητα.
Η CISA έχει προσθέσει το CVE-2026-102764 στον κατάλογο KEV, με προθεσμία εφαρμογής διορθώσεων για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ έως τις 19 Οκτωβρίου 2026.
Πηγή: The Hacker News