Η ευπάθεια CVE-2026-102764 του BeyondTrust Remote Support αξιοποιήθηκε ως zero-day και προστέθηκε στον κατάλογο KEV της CISA

Η BeyondTrust κυκλοφόρησε διόρθωση για την CVE-2026-102764, μια κρίσιμη ευπάθεια στο προϊόν Remote Support, παλαιότερα γνωστό ως Bomgar, η οποία επηρεάζει τις εκδόσεις 26.2.3 και προγενέστερες. Η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) πρόσθεσε την ευπάθεια στον κατάλογο Known Exploited Vulnerabilities (KEV) στις 16 Οκτωβρίου και δημοσίευσε οδηγίες με τις οποίες καλεί τους οργανισμούς που λειτουργούν αυτοφιλοξενούμενες συσκευές να δράσουν άμεσα. Σύμφωνα με τη Mandiant, ένας ύποπτος φορέας κατασκοπείας με διασυνδέσεις με την Κίνα εκμεταλλεύτηκε το σφάλμα ως zero-day στα τέλη Αυγούστου, πολύ πριν από τη δημόσια αποκάλυψη.

Η BeyondTrust αποκάλυψε το πρόβλημα στις 15 Οκτωβρίου, σύμφωνα με τη Mandiant. Το The Hacker News, που ανέφερε βαθμολογία CVSS 9,3, μετέφερε δήλωση του προμηθευτή ότι εσωτερικά στοιχεία του Remote Support δεν έλεγχαν σωστά την προέλευση των εισερχόμενων μηνυμάτων, κάτι που υπό ορισμένες συνθήκες θα μπορούσε να επιτρέψει ενέργειες σε αρχεία της συσκευής. Η CISA περιγράφει την ευπάθεια ως παράκαμψη ταυτοποίησης, ενώ η Mandiant δήλωσε ότι ένας μη ταυτοποιημένος απομακρυσμένος εισβολέας μπορεί να τη χρησιμοποιήσει για χειραγώγηση αρχείων, αποκτώντας ενδεχομένως έλεγχο σε επίπεδο host και πρόσβαση σε όλα τα διαπιστευτήρια που η συσκευή αποθηκεύει ή διαμεσολαβεί. Η διόρθωση είναι το patch BT26-05-RS της ανακοίνωσης BT26-05. Η Mandiant ανέφερε ότι η BeyondTrust το εφάρμοσε σε όλους τους SaaS tenants στις 9 Οκτωβρίου, άρα οι φιλοξενούμενοι πελάτες δεν χρειάζονται ενημέρωση συσκευής, αν και ο έλεγχος διαπιστευτηρίων και ρυθμίσεων εξακολουθεί να ισχύει. Τα αυτοφιλοξενούμενα συστήματα με έκδοση 24.3.1 ή νεότερη χρειάζονται εγκατάσταση του patch ή επιβεβαίωσή της μέσω αυτόματων ενημερώσεων, ενώ οι παλαιότερες εκδόσεις πρέπει πρώτα να αναβαθμιστούν σε υποστηριζόμενη έκδοση· η Mandiant σημείωσε ότι η αναβάθμιση δεν αποκαθιστά προηγούμενη έκθεση.

Η Mandiant δήλωσε ότι εντόπισε τη δραστηριότητα κατά την αντιμετώπιση ενός περιστατικού, και η GTIG την αποδίδει στην ARMORY CASTLE, ομάδα που παλαιότερα παρακολουθούνταν ως UNC5221. Μετά την εκμετάλλευση, ο φορέας εγκατέστησε ένα συσκοτισμένο PHP web shell που η Mandiant ονομάζει SAWFLY, απέκτησε δικαιώματα root δημιουργώντας αντίγραφο του κελύφους συστήματος με δικαιώματα SUID, προσπάθησε να εξαγάγει αποθηκευμένα διαπιστευτήρια με ενσωματωμένο εργαλείο γραμμής εντολών της BeyondTrust και πρόσθεσε ένα σενάριο εκκίνησης που τροποποιούσε το πρότυπο sudoers, ώστε η απεριόριστη πρόσβαση root να διατηρείται μετά από επανεκκινήσεις και επαναφορές ρυθμίσεων. Η Mandiant περιέγραψε επίσης ένα προσαρμοσμένο εργαλείο σήραγγας SOCKS5 με την ονομασία BARECLAW, προσβάσιμο από το διαδίκτυο μέσω αλλαγών στη διαμόρφωση HAProxy της συσκευής, επαναλαμβανόμενη διαγραφή αρχείων καταγραφής και κατάχρηση ενός λογαριασμού διαχειριστή του οποίου τα δικαιώματα Jump Item αυξήθηκαν, ώστε ο φορέας να μπορεί να ανοίγει απομακρυσμένες συνεδρίες προς εσωτερικά τελικά σημεία και να αντιγράφει έγγραφα όπως καταλόγους λογισμικού.

Πέρα από την εφαρμογή του patch, η CISA συνέστησε τον περιορισμό της εξωτερικής έκθεσης των συσκευών Remote Support στις απαραίτητες υπηρεσίες, τη διατήρηση των διαχειριστικών διεπαφών σε αξιόπιστα δίκτυα και τη διενέργεια εγκληματολογικής ανάλυσης δικτύου και μνήμης. Όπου υπάρχει υποψία παραβίασης, η υπηρεσία συνιστά απομόνωση της συσκευής, διατήρηση στιγμιότυπου ή εγκληματολογικού ειδώλου, προώθηση των αρχείων καταγραφής σε SIEM και αναζήτηση άγνωστων προνομιακών συνεδριών, σεναρίων ή κενών στην καταγραφή. Στη συνέχεια ζητά ανακατασκευή από γνωστή αξιόπιστη κατάσταση, εφαρμογή του patch, αλλαγή όλων των διαπιστευτηρίων που διατηρούσε η συσκευή, ανάκληση ενεργών συνεδριών υποστήριξης και έλεγχο νέων εγγραφών MFA σε προνομιακούς λογαριασμούς. Το The Hacker News ανέφερε ότι οι ομοσπονδιακές πολιτικές υπηρεσίες έχουν προθεσμία έως τις 19 Οκτωβρίου για αποκατάσταση, ενώ και το Cyber Centre του Καναδά έχει εκδώσει ανακοίνωση για την ευπάθεια.

Σύμφωνα με το The Hacker News, χρονολόγιο της BeyondTrust δείχνει ότι η εκμετάλλευση zero-day μιας αυτοφιλοξενούμενης συσκευής χρονολογείται στις 29 Αυγούστου, και ο προμηθευτής άρχισε να αναζητά παρόμοια δραστηριότητα αφότου έγινε δημόσια, στις 27 Σεπτεμβρίου, η παραβίαση ενός άλλου παρόχου συσκευών ασφαλείας. Η GTIG δήλωσε ότι η ARMORY CASTLE δρα τουλάχιστον από τον Οκτώβριο του 2023 και έχει στο παρελθόν εκμεταλλευτεί συσκευές περιμέτρου (edge). Η Mandiant προειδοποίησε ότι η ομάδα ιστορικά έχει περάσει σε ευρεία, ευκαιριακή εκμετάλλευση μόλις αποκαλυφθεί μια ευπάθεια, όπως συνέβη το 2024 μετά τις ευπάθειες της Ivanti CVE-2023-46805 και CVE-2024-21887, και δήλωσε ότι κάθε ευάλωτη συσκευή εκτεθειμένη στο διαδίκτυο κατά το διάστημα εκμετάλλευσης θα πρέπει να «αντιμετωπίζεται ως ενδεχομένως παραβιασμένη έως ότου ελεγχθεί».