El grupo de ciberespionaje vinculado a China conocido como Armory Castle (anteriormente UNC5221 o Warp Panda) explotó una vulnerabilidad de seguridad recién divulgada en BeyondTrust Remote Support (antes Bomgar) como zero-day a finales de agosto de 2026.
La vulnerabilidad, identificada como CVE-2026-102764 (puntuación CVSS: 9.3), es un caso de validación de origen incorrecta en un componente de mensajería interna que podría ser explotado por un atacante remoto para realizar operaciones de archivos en un appliance afectado.
"La vulnerabilidad existe dentro de componentes internos de Remote Support", dijo BeyondTrust en una alerta del jueves. "Los componentes no validaban adecuadamente el origen de los mensajes que recibían. En las condiciones adecuadas, esto podría usarse para realizar operaciones de archivos en el appliance".
Los parches para la falla se enviaron a todos los clientes de Remote Support SaaS a partir del 9 de octubre de 2026. Se recomienda a los clientes autoalojados de Remote Support que ejecutan versiones desde la 24.3.1 hasta la 26.2.3 que actualicen manualmente al parche BT26-05-RS. Los clientes que ejecutan una versión anterior a la 24.3.1 deberán actualizar a una versión más reciente para aplicar la corrección.
Según una cronología de eventos compartida por BeyondTrust, se dice que Armory Castle explotó la falla como zero-day en un único appliance de Remote Support autoalojado el 29 de agosto de 2026. Luego, el 27 de septiembre de 2026, "la explotación exitosa de otro proveedor de dispositivos de seguridad se hizo pública", agregó, lo que llevó a iniciar una investigación para buscar actividad similar.
Armory Castle tiene un historial de explotación de vulnerabilidades zero-day en appliances Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 y CVE-2025-0282) para irrumpir en una amplia gama de sectores, incluidos servicios legales, proveedores de SaaS, subcontratistas de procesos de negocio, tecnología y gobiernos, con fines de recopilación de inteligencia a largo plazo. Se sabe que está activo desde octubre de 2023.
"El actor utiliza un zero-day de forma selectiva contra objetivos elegidos, y una vez que la vulnerabilidad es pública, el actor normalmente pasa a la explotación amplia de cada instancia que aún no está parcheada", dijo BeyondTrust. "Nuestra evaluación de trabajo es que este actor selecciona objetivos de software de alto valor de antemano y mantiene un modelo funcional de los productos que ataca en un contexto de IA que utiliza de forma continua para desarrollar cadenas de explotación".
Mandiant, propiedad de Google, que compartió detalles adicionales relacionados con la actividad de explotación, dijo que un compromiso exitoso es seguido por el despliegue de un web shell PHP ligero con el nombre en clave SAWFLY para acceso remoto interactivo y comunicación bidireccional cifrada de comando y control (C2).
El operador utiliza nodos de salida de VPN comerciales y routers domésticos y de pequeñas oficinas comprometidos para mezclarse con el tráfico normal, y luego aprovecha el web shell como conducto para escalar privilegios, obtener el control administrativo total del appliance y establecer persistencia de manera que sobreviva a los reinicios.
La intrusión se caracteriza por esfuerzos para facilitar el robo de credenciales mediante la lectura de secretos almacenados en el appliance y el abuso del acceso administrativo para llegar a sistemas posteriores y permitir el movimiento lateral. Los detalles de las acciones posteriores a la explotación llevadas a cabo por el actor de amenazas se enumeran a continuación:
- Obtener control a nivel de root del host del appliance copiando el ejecutable del shell del sistema (/bin/sh) al archivo "/usr/bin/dbus-authd" y modificando su propiedad a root y habilitando permisos Set User ID (SUID), lo que provoca que se ejecute con los privilegios del propietario del archivo.
- Intentar recolectar credenciales directamente de la base de datos nativa de gestión de secretos del appliance utilizando la utilidad de línea de comandos (CLI) propietaria "/ns/sbin/bt-secrets" para gestionar, almacenar y recuperar contraseñas, claves de API y credenciales de endpoints.
- Atacar las plantillas de configuración de BeyondTrust para obtener privilegios de root sin contraseña para la cuenta de servicio del sitio.
- Pivotar hacia la aplicación BeyondTrust Remote Support para realizar reconocimiento mediante credenciales de administrador comprometidas y luego lanzar sesiones remotas a sistemas posteriores poblados en la lista de Jump Item del appliance.
- Abusar de los privilegios administrativos elevados para establecer una sesión de soporte remoto dirigida a endpoints internos y obtener acceso completo al sistema de archivos de esos sistemas con el objetivo de descargar y exfiltrar documentos internos sensibles para reconocimiento de red.
- Tunelizar tráfico a través del dispositivo BeyondTrust mediante BARECLAW, un tunelizador proxy SOCKS5 personalizado basado en C que retransmite conexiones TCP entre un cliente remoto y destinos.
- Modificar el archivo "/ns/config/haproxy.conf" para garantizar que BARECLAW sea accesible directamente desde internet.
- Dificultar los esfuerzos de detección eliminando sistemáticamente los registros del sistema, del servidor web y de la aplicación.
"A lo largo de la intrusión, Armory Castle aprovechó un profundo conocimiento de las tripas del appliance de BeyondTrust, como lo evidencia su abuso de utilidades CLI propietarias, plantillas de configuración de inicio y enrutamiento de proxy inverso local", dijeron los investigadores de Google Threat Intelligence Group (GTIG) y Mandiant Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch y John Wolfram.
"Cualquier appliance que fuera accesible desde internet en una versión vulnerable durante la ventana de explotación debe tratarse como potencialmente comprometido hasta que haya sido revisado".
Deja una respuesta