Vulnerabilitatea CVE-2026-102764 din BeyondTrust Remote Support, exploatată ca zero-day și adăugată în catalogul CISA KEV

BeyondTrust a lansat o remediere pentru CVE-2026-102764, o vulnerabilitate critică din produsul său Remote Support, cunoscut anterior ca Bomgar, care afectează versiunile 26.2.3 și anterioare. Agenția americană pentru securitate cibernetică și securitatea infrastructurii (CISA) a adăugat vulnerabilitatea în catalogul său Known Exploited Vulnerabilities (KEV) pe 16 octombrie și a publicat recomandări prin care îndeamnă organizațiile care operează dispozitive pe propria infrastructură să acționeze imediat. Potrivit Mandiant, un presupus actor de spionaj cu legături cu China a exploatat vulnerabilitatea ca zero-day la sfârșitul lui august, cu mult înainte de dezvăluirea publică.

BeyondTrust a dezvăluit problema pe 15 octombrie, potrivit Mandiant. The Hacker News, care a raportat un scor CVSS de 9,3, a citat furnizorul, potrivit căruia componente interne Remote Support nu verificau corect proveniența mesajelor primite, ceea ce, în anumite condiții, putea permite operațiuni cu fișiere pe dispozitiv. CISA descrie vulnerabilitatea drept o ocolire a autentificării, iar Mandiant a declarat că un atacator de la distanță neautentificat o poate folosi pentru a manipula fișiere, putând obține controlul asupra gazdei și acces la toate credențialele pe care dispozitivul le stochează sau le intermediază. Remedierea este patch-ul BT26-05-RS, din avizul BT26-05. Mandiant a spus că BeyondTrust l-a aplicat tuturor tenanților SaaS pe 9 octombrie, astfel că clienții găzduiți nu trebuie să actualizeze dispozitivul, deși verificarea credențialelor și a configurației rămâne necesară. Sistemele cu instalare proprie pe versiunea 24.3.1 sau mai nouă trebuie să aibă patch-ul instalat sau confirmat prin actualizări automate, iar versiunile mai vechi trebuie mai întâi actualizate la o versiune suportată; Mandiant a remarcat că actualizarea nu remediază expunerea anterioară.

Mandiant a declarat că a descoperit activitatea în cadrul unei intervenții de răspuns la incidente, iar GTIG o atribuie grupului ARMORY CASTLE, urmărit anterior ca UNC5221. După exploatare, actorul a plasat un web shell PHP ofuscat, pe care Mandiant îl numește SAWFLY, a obținut drepturi root creând o copie a shell-ului de sistem cu permisiuni SUID, a încercat să extragă credențialele stocate cu un instrument de linie de comandă integrat BeyondTrust și a adăugat un script de pornire care modifica șablonul sudoers, astfel încât accesul root nerestricționat să persiste după reporniri și resetări ale configurației. Mandiant a descris, de asemenea, un instrument de tunelare SOCKS5 personalizat numit BARECLAW, făcut accesibil din internet prin modificări ale configurației HAProxy a dispozitivului, ștergerea repetată a jurnalelor și abuzul unui cont de administrator ale cărui permisiuni Jump Item au fost extinse, astfel încât actorul să poată deschide sesiuni la distanță către endpointuri interne și să copieze documente precum inventare de software.

Pe lângă aplicarea patch-ului, CISA a recomandat limitarea expunerii externe a dispozitivelor Remote Support la serviciile necesare, menținerea interfețelor administrative în rețele de încredere și efectuarea de analize criminalistice ale rețelei și memoriei. Acolo unde se suspectează o compromitere, agenția recomandă izolarea dispozitivului, păstrarea unui snapshot sau a unei imagini criminalistice, redirecționarea jurnalelor către un SIEM și căutarea de sesiuni privilegiate necunoscute, scripturi sau lacune în jurnalizare. Apoi solicită reconstruirea dintr-o stare cunoscută ca sigură, aplicarea patch-ului, schimbarea tuturor credențialelor deținute de dispozitiv, revocarea sesiunilor de suport active și verificarea noilor înrolări MFA pe conturile privilegiate. The Hacker News a relatat că agențiile civile federale au termen până pe 19 octombrie pentru remediere, iar Centrul canadian pentru securitate cibernetică (Cyber Centre) a emis și el un aviz privind vulnerabilitatea.

Potrivit The Hacker News, o cronologie a BeyondTrust indică faptul că exploatarea zero-day a unui dispozitiv cu instalare proprie datează din 29 august, iar furnizorul a început să caute activități similare după ce compromiterea unui alt furnizor de dispozitive de securitate a devenit publică pe 27 septembrie. GTIG a declarat că ARMORY CASTLE este activ cel puțin din octombrie 2023 și a mai exploatat anterior dispozitive de tip edge. Mandiant a avertizat că grupul a trecut în trecut la exploatare amplă și oportunistă odată ce o vulnerabilitate a fost dezvăluită, așa cum s-a întâmplat în 2024 după vulnerabilitățile Ivanti CVE-2023-46805 și CVE-2024-21887, și a declarat că orice dispozitiv vulnerabil expus la internet în perioada de exploatare ar trebui „tratat ca potențial compromis până când este verificat”.