Seguir BeyondTrust ha divulgado CVE-2026-102764, una vulnerabilidad crítica en Remote Support (RS) que fue explotada como un día cero por un sospechoso actor de ciberespionaje con nexos en China. La falla tiene un puntaje CVSS 4.0 de 9.3 y puede permitir a un atacante remoto no autenticado realizar operaciones de archivos arbitrarias en un dispositivo vulnerable.
El Grupo de Inteligencia de Amenazas de Google y Mandiant atribuyen la explotación observada a ARMORY CASTLE, anteriormente rastreado como UNC5221 y también asociado con el nombre WARP PANDA. El grupo tiene un historial de atacar dispositivos de seguridad expuestos a internet y explotar vulnerabilidades previamente desconocidas para obtener acceso persistente a entornos de alto valor.
Los ataques comenzaron tan pronto como el 29 de agosto de 2026, cuando el actor de amenaza explotó con éxito una instancia de Remote Support alojada por BeyondTrust y un dispositivo autoalojado. BeyondTrust luego reprodujo la vulnerabilidad, desarrolló una solución y comenzó a distribuir el parche BT26-05 antes de divulgar públicamente el CVE el 15 de octubre de 2026.
La explotación exitosa puede proporcionar a los atacantes una base en un dispositivo que gestiona el acceso remoto privilegiado y puede contener o proporcionar acceso a credenciales administrativas, secretos API, sesiones de soporte y puntos finales internos. Mandiant observó a los atacantes escalando privilegios a root, desplegando malware personalizado, recolectando credenciales, modificando controles de acceso y pivotando hacia sistemas aguas abajo.
Las organizaciones pueden aprovechar la Plataforma de Inteligencia de Detección Nativa AI de SOC Prime para acelerar la caza de amenazas y la ingeniería de detección para vulnerabilidades emergentes y campañas de explotación activa en entornos SIEM, EDR, XDR y Data Lake.
Prime Architect también puede ayudar a los equipos de seguridad a transformar la inteligencia de amenazas técnicas en lógica de detección, consultas de caza y reglas específicas para el entorno, mientras soporta un análisis más rápido de las técnicas de ataque recientemente divulgadas.
Análisis de CVE-2026-102764
CVE-2026-102764 afecta las versiones de BeyondTrust Remote Support hasta e incluyendo la 26.2.3. BeyondTrust clasifica el problema como validación de origen inadecuada en un componente de mensajería interna bajo CWE-290. Los componentes afectados no validaron adecuadamente el origen de los mensajes recibidos, permitiendo que un atacante remoto, bajo las condiciones adecuadas, realice operaciones de archivos en el dispositivo.
La falla recibió un puntaje CVSS 4.0 de 9.3 con un vector de ataque accesible en red, baja complejidad de ataque, sin privilegios requeridos y sin interacción del usuario. La explotación exitosa puede tener un alto impacto en la confidencialidad, integridad y disponibilidad.
BeyondTrust está reteniendo actualmente los detalles técnicos de bajo nivel de la vulnerabilidad mientras las organizaciones autoalojadas completan la remediación. Sin embargo, la investigación de respuesta a incidentes de Mandiant proporciona información sustancial sobre cómo operaron los atacantes después de explotar la debilidad.
ARMORY CASTLE explotó la vulnerabilidad para colocar archivos maliciosos en dispositivos BeyondTrust Remote Support. Mandiant observó solicitudes POST dirigidas a un recurso PHP inusual antes de la creación de un webshell personalizado llamado SAWFLY en los directorios web accesibles del dispositivo.
SAWFLY, almacenado como mangoapi.php, es un webshell PHP ligero diseñado para ocultar su presencia mientras proporciona ejecución de comandos interactivos. Utiliza una capa de comunicación Base32 personalizada combinada con encriptación RC4 y solo responde cuando las solicitudes entrantes contienen un parámetro específico. Las solicitudes que fallan en esta verificación reciben una respuesta HTTP 404, ayudando al webshell a evadir rastreadores automatizados y escaneos de seguridad básicos.
El webshell se ejecutó inicialmente bajo una cuenta de servicio de sitio no privilegiada. Para obtener acceso root, los atacantes copiaron /bin/sh a /usr/bin/dbus-authd, cambiaron el propietario del archivo a root y habilitaron el bit de permiso SUID. Ejecutar este binario modificado proporcionó entonces ejecución de comandos a nivel root de forma persistente.
El acceso root dio a ARMORY CASTLE un control significativo sobre el dispositivo BeyondTrust y sus datos de acceso privilegiado. Mandiant observó al actor abusar de la herramienta administrativa legítima /ns/sbin/bt-secrets para intentar recuperar contraseñas, claves API y otras credenciales almacenadas en la bóveda de secretos nativa del dispositivo.
Los atacantes también tomaron medidas para mantener el acceso a través de reinicios y reinicios de configuración. Crearon un script de inicio llamado zz-root-persist en /home/bomgar/sbin/post_boot.d y modificaron la plantilla sudoers del dispositivo para que la cuenta de servicio comprometida recibiera privilegios root sin contraseña.
Otra herramienta personalizada, BARECLAW, fue desplegada para establecer un túnel encubierto a través del dispositivo comprometido. BARECLAW es un proxy SOCKS5 basado en C que opera sobre WebSockets y puede soportar autenticación, ofuscación de tráfico, restricciones de destino, proxy ascendente y TLS.
Los atacantes modificaron la configuración de HAProxy del dispositivo para que las solicitudes externas a una ruta de WebSocket especialmente elegida fueran redirigidas de manera transparente a BARECLAW escuchando en localhost. Esto permitió que el túnel permaneciera oculto del escaneo básico de puertos externos mientras seguía siendo accesible a través de la infraestructura legítima orientada a HTTPS del dispositivo.
La actividad post-compromiso se extendió más allá del dispositivo en sí. ARMORY CASTLE utilizó permisos administrativos de BeyondTrust robados o modificados para iniciar sesiones de Remote Support contra puntos finales internos, solicitar acceso al sistema de archivos y descargar documentos internos útiles para el reconocimiento.
El actor de amenaza también participó en antiforense extensivo. Mandiant observó la eliminación de registros de autenticación, registros de servidor web, registros de aplicaciones, registros PHP y registros asociados con el acceso a la bóveda de credenciales. Estos comportamientos subrayan la importancia de reenviar la telemetría del dispositivo a un SIEM o repositorio de registros externo que los atacantes no puedan borrar después de un compromiso a nivel de host.
BeyondTrust atribuye la actividad a ARMORY CASTLE con confianza moderada a alta, consistente con la evaluación de Mandiant. El grupo ha explotado previamente vulnerabilidades en productos de borde y de acceso remoto, incluyendo Citrix NetScaler e Ivanti Connect Secure, como parte de operaciones de espionaje a largo plazo.
La divulgación actual no incluye un PoC público de CVE-2026-102764. BeyondTrust ha retenido explícitamente detalles de explotación para reducir el riesgo de ataques imitadores mientras los dispositivos autoalojados vulnerables permanecen sin parchar.
Para la detección de CVE-2026-102764, los defensores deben investigar archivos PHP inusuales, creación inesperada de archivos en directorios accesibles por la web, binarios SUID inexplicados, modificaciones a plantillas HAProxy o sudoers, cambios sospechosos de rol de administrador, e interrupciones en el reenvío de registros del dispositivo.
Mitigación de CVE-2026-102764
BeyondTrust lanzó el parche BT26-05 a los clientes afectados antes de la divulgación coordinada. A partir del 9 de octubre de 2026, la compañía había aplicado la solución a todas las instancias de cliente SaaS de Remote Support. Los clientes de SaaS no necesitan parchar manualmente el propio dispositivo.
Los clientes de Remote Support autoalojados que ejecuten la versión 24.3.1 hasta la 26.2.3 deben instalar inmediatamente el parche BT26-05-RS a través de la interfaz de gestión del dispositivo. Las organizaciones que ejecuten una versión anterior a 24.3.1 deben primero actualizar a una versión compatible antes de aplicar el parche de seguridad.
Aunque BeyondTrust ha confirmado Remote Support como vulnerable, Privileged Remote Access comparte partes del código afectado. El proveedor no ha identificado un método exitoso para explotar el problema contra PRA pero lanzó un parche correspondiente como precaución y recomienda que los clientes autoalojados de PRA lo apliquen.
Las organizaciones deberían considerar cualquier dispositivo Remote Support accesible por internet que permaneció vulnerable durante la ventana de explotación como potencialmente comprometido hasta que haya sido investigado a fondo. Instalar el parche previene la explotación futura pero no elimina el malware o la persistencia establecida antes de la remediación.
Mandiant recomienda preservar la evidencia forense antes de reiniciar o reconstruir un dispositivo sospechoso. Para dispositivos virtuales, esto incluye capturar la memoria donde sea posible, tomar una captura y exportar el disco. Las organizaciones también deben preservar registros de firewall externo, WAF, proxy inverso y SIEM que cubran toda la ventana de exposición.
Los dispositivos confirmados o potencialmente comprometidos deben ser aislados en el perímetro. Las organizaciones también pueden restringir el tráfico saliente mientras mantienen el acceso solo a la infraestructura esencial de actualización y licenciamiento de BeyondTrust.
Si se confirma o no se puede descartar un compromiso a nivel de host, Mandiant recomienda reconstruir el dispositivo desde una imagen limpia y completamente parcheada en lugar de intentar eliminar componentes maliciosos individuales. La persistencia a nivel de host observada en la campaña puede sobrevivir reinicios y reinicios de configuración.
La rotación de credenciales debería ocurrir solo después de que el dispositivo comprometido haya sido parcheado, aislado o reconstruido. De lo contrario, las nuevas credenciales pueden volverse inmediatamente accesibles para un atacante que retenga el control del sistema.
Las credenciales prioritarias para rotar incluyen administradores del dispositivo, administradores de Remote Support, secretos del cliente API, claves SAML, cuentas de vinculación de servicio de directorio, credenciales de Vault de Remote Support, secretos de integración y credenciales ingresadas durante sesiones de soporte potencialmente comprometidas.
Para detectar la explotación de CVE-2026-102764, los equipos de seguridad deben correlacionar las solicitudes web y eventos de creación de archivos con cambios de cuenta, actividad de sesiones de soporte, transferencias de archivos inesperadas, conexiones sospechosas de WebSocket y brechas en el reenvío de registros externos.
Los IOCs de CVE-2026-102764 publicados incluyen el nombre de archivo de webshell SAWFLY mangoapi.php con SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb, el binario BARECLAW ingredi_ws con SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462, y la ruta de publicación app_84304470.php.
Los indicadores de comportamiento adicionales incluyen la creación de /usr/bin/dbus-authd con permisos SUID, el script de inicio zz-root-persist, cambios sospechosos a /ns/config/sudoers.template, modificaciones inesperadas a /ns/config/haproxy.conf, y la ruta WebSocket /uidchanarge.
Los equipos de seguridad también deben revisar los eventos de auditoría de BeyondTrust para aumentos inesperados en los permisos de Jump Item o Team, cuentas API o usuarios recién creados, inicios de sesión de administrador sospechosos, sesiones de transferencia de archivos inexplicadas y cambios en los destinos de registro saliente.
Debido a que ARMORY CASTLE eliminó sistemáticamente los registros locales durante la intrusión observada, las organizaciones no deberían depender exclusivamente de la evidencia residente en el dispositivo. El reenvío centralizado de registros, la telemetría de la red perimetral, los registros de proxy inverso y la telemetría de puntos finales aguas abajo son esenciales para reconstruir un posible compromiso.
BeyondTrust también recomienda restringir el acceso a las interfaces /login y /appliance, aplicar MFA resistente al phishing para administradores, minimizar cuentas privilegiadas locales, limitar permisos de API y aplicar filtrado de salida basado en denegación por defecto donde sea operativamente viable.
La Plataforma de Inteligencia de Detección Nativa AI de SOC Prime puede ayudar a los equipos de seguridad a operacionalizar la última inteligencia de amenazas sobre la actividad de ARMORY CASTLE y acelerar la caza de comportamiento a través de identidad, red, punto final y telemetría del dispositivo.
FAQ
¿Qué es CVE-2026-102764 y cómo funciona?
CVE-2026-102764 es una vulnerabilidad crítica en BeyondTrust Remote Support causada por la validación inadecuada de orígenes de mensajes dentro de un componente de mensajería interna. Un atacante remoto no autenticado puede abusar de la debilidad para realizar operaciones de archivos en un dispositivo vulnerable. En ataques observados, ARMORY CASTLE usó la falla para establecer una base inicial antes de desplegar webshells, escalar privilegios y obtener control a nivel root.
¿Cuándo se descubrió por primera vez CVE-2026-102764?
BeyondTrust observó que ARMORY CASTLE explotó con éxito el día cero el 29 de agosto de 2026. La búsqueda proactiva de amenazas de la compañía identificó la actividad el 28 de septiembre, reprodujo la vulnerabilidad el mismo día y comenzó a desarrollar una solución. El parche fue lanzado a los clientes el 8 de octubre, las implementaciones SaaS fueron totalmente parcheadas para el 9 de octubre y la divulgación pública coordinada ocurrió el 15 de octubre de 2026.
¿Cuál es el impacto de CVE-2026-102764 en los sistemas?
La explotación exitosa puede permitir operaciones de archivos arbitrarias en un dispositivo BeyondTrust Remote Support y establecer un camino para un compromiso más profundo. En los ataques documentados, ARMORY CASTLE desplegó el webshell SAWFLY, escaló privilegios a root, intentó extraer credenciales, creó acceso administrativo persistente, desplegó el túnel BARECLAW, modificó configuraciones del dispositivo y se movió hacia sistemas internos.
¿Puede CVE-2026-102764 aún afectarme en 2026?
Sí. Los dispositivos autoalojados BeyondTrust Remote Support que ejecuten la versión 26.2.3 o anterior siguen estando en riesgo a menos que se haya aplicado el parche BT26-05. Los dispositivos más antiguos que 24.3.1 deben primero actualizarse. Las instancias de Remote Support SaaS fueron parchadas por BeyondTrust para el 9 de octubre de 2026.
¿Cómo puedo protegerme de CVE-2026-102764?
Instale inmediatamente el parche BT26-05, investigue dispositivos que fueron accesibles por internet mientras eran vulnerables, preserve telemetría externa y forense, y reconstruya sistemas donde se confirme el compromiso o no se pueda excluir. Rote credenciales privilegiadas solo después de contención, restrinja interfaces de administración de dispositivos, aplique MFA y continúe monitoreando la guía de BeyondTrust para detalles actualizados sobre CVE-2026-102764.
