Seguir BeyondTrust divulgou CVE-2026-102764, uma vulnerabilidade crítica no Remote Support (RS) que foi explorada como um zero-day por um ator suspeito de espionagem cibernética com conexão à China. A falha possui uma pontuação CVSS 4.0 de 9,3 e pode permitir que um invasor remoto não autenticado realize operações arbitrárias de arquivos em um appliance vulnerável.
O Google Threat Intelligence Group e a Mandiant atribuem a exploração observada ao ARMORY CASTLE, anteriormente rastreado como UNC5221 e também associado ao nome WARP PANDA. O grupo tem um histórico de atacar appliances de segurança voltados para a internet e explorar vulnerabilidades anteriormente desconhecidas para obter acesso persistente a ambientes de alto valor.
Os ataques começaram já em 29 de agosto de 2026, quando o ator da ameaça explorou com sucesso uma instância de Remote Support hospedada pela BeyondTrust e um appliance auto-hospedado. Posteriormente, a BeyondTrust reproduziu a vulnerabilidade, desenvolveu uma correção e começou a distribuir o patch BT26-05 antes de divulgar publicamente o CVE em 15 de outubro de 2026.
A exploração bem-sucedida pode fornecer aos invasores um ponto de apoio em um appliance que intermedia o acesso remoto privilegiado e pode conter ou fornecer acesso a credenciais administrativas, segredos de API, sessões de suporte e endpoints internos. A Mandiant observou que os invasores escalaram privilégios para root, implantaram malware personalizado, colheram credenciais, modificaram controles de acesso e se moveram para sistemas a jusante.
As organizações podem aproveitar a Plataforma de Detecção Inteligente Nativa em IA da SOC Prime para acelerar a caça a ameaças e a engenharia de detecção para vulnerabilidades emergentes e campanhas de exploração ativas em ambientes SIEM, EDR, XDR e Data Lake.
O Prime Architect também pode ajudar as equipes de segurança a transformar inteligência técnica de ameaças em lógica de detecção, consultas de busca e regras específicas do ambiente, enquanto suporte uma análise mais rápida de técnicas de ataque recém-divulgadas.
Análise do CVE-2026-102764
O CVE-2026-102764 afeta as versões do BeyondTrust Remote Support até e incluindo 26.2.3. A BeyondTrust classifica o problema como validação de origem inadequada em um componente de mensagem interna sob CWE-290. Os componentes afetados não validaram suficientemente a origem das mensagens recebidas, permitindo que um invasor remoto, sob as condições certas, execute operações de arquivos no appliance.
A falha recebeu uma pontuação CVSS 4.0 de 9,3 com um vetor de ataque acessível pela rede, baixa complexidade de ataque, sem privilégios necessários e sem interação do usuário. A exploração bem-sucedida pode ter um impacto alto na confidencialidade, integridade e disponibilidade.
A BeyondTrust está atualmente retendo os detalhes técnicos de baixo nível da vulnerabilidade enquanto as organizações auto-hospedadas completam a remediação. No entanto, a investigação de resposta a incidentes da Mandiant fornece uma visão substancial sobre como os atacantes operaram após explorar a fraqueza.
O ARMORY CASTLE explorou a vulnerabilidade para criar arquivos maliciosos nos appliances BeyondTrust Remote Support. A Mandiant observou requisições POST direcionadas a um recurso PHP incomum antes da criação de um webshell personalizado chamado SAWFLY nos diretórios acessíveis pela web do appliance.
SAWFLY, armazenado como mangoapi.php, é um webshell PHP leve projetado para ocultar sua presença enquanto fornece execução de comandos interativa. Ele usa uma camada de comunicação personalizada Base32 combinada com criptografia RC4 e responde apenas quando as solicitações de entrada contêm um parâmetro específico. Solicitações que falham nesse teste recebem uma resposta HTTP 404, ajudando o webshell a evadir crawlers automatizados e verificações básicas de segurança.
O webshell foi inicialmente executado sob uma conta de serviço de site sem privilégios. Para obter acesso root, os invasores copiaram /bin/sh para /usr/bin/dbus-authd, mudaram o proprietário do arquivo para root e habilitaram o bit de permissão SUID. A execução deste binário modificado então forneceu execução de comandos em nível root de forma persistente.
O acesso root deu ao ARMORY CASTLE controle significativo sobre o appliance BeyondTrust e seus dados de acesso privilegiado. A Mandiant observou o ator abusando do utilitário administrativo legítimo /ns/sbin/bt-secrets para tentar recuperar senhas, chaves de API e outras credenciais armazenadas no cofre de segredos nativos do appliance.
Os invasores também tomaram medidas para manter o acesso durante reinicializações e redefinições de configuração. Eles criaram um script de inicialização chamado zz-root-persist em /home/bomgar/sbin/post_boot.d e modificaram o template do sudoers do appliance para que a conta de serviço comprometida recebesse privilégios de root sem senha.
Outra ferramenta personalizada, BARECLAW, foi implantada para estabelecer um túnel oculto através do dispositivo comprometido. BARECLAW é um proxy SOCKS5 baseado em C que opera sobre WebSockets e pode suportar autenticação, ofuscação de tráfego, restrições de destino, proxy upstream e TLS.
Os invasores modificaram a configuração do HAProxy do appliance para que requisições externas a um caminho de WebSocket especialmente escolhido fossem redirecionadas de forma transparente para o BARECLAW, ouvindo no localhost. Isso permitiu que o túnel permanecesse oculto de escaneamentos básicos de portas externas, mas ainda fosse acessível através da infraestrutura legítima voltada para HTTPS do appliance.
A atividade pós-comprometimento se estendeu além do próprio appliance. O ARMORY CASTLE usou permissões administrativas BeyondTrust roubadas ou modificadas para iniciar sessões de Remote Support contra endpoints internos, solicitar acesso ao sistema de arquivos e baixar documentos internos úteis para reconhecimento.
O ator da ameaça também se envolveu em extenso anti-forense. A Mandiant observou a exclusão de logs de autenticação, registros de servidores web, logs de aplicativos, logs PHP e registros associados ao acesso ao cofre de credenciais. Esses comportamentos destacam a importância de encaminhar a telemetria do appliance para um SIEM ou repositório de logs externo que os invasores não possam apagar após um comprometimento no nível do host.
BeyondTrust atribui a atividade ao ARMORY CASTLE com confiança moderada a alta, consistente com a avaliação da Mandiant. O grupo já explorou vulnerabilidades em produtos de borda e acesso remoto, incluindo Citrix NetScaler e Ivanti Connect Secure, como parte de operações de espionagem de longo prazo.
A divulgação atual não inclui um PoC público para CVE-2026-102764. A BeyondTrust retém explicitamente detalhes de exploração para reduzir o risco de ataques imitadores enquanto appliances auto-hospedados vulneráveis permanecem sem patch.
Para a detecção do CVE-2026-102764, os defensores devem investigar arquivos PHP incomuns, criação inesperada de arquivos em diretórios acessíveis pela web, binários SUID inexplicados, modificações nas configurações do HAProxy ou templates de sudoers, mudanças suspeitas em funções de administrador e interrupções no encaminhamento de logs do appliance.
Mitigação do CVE-2026-102764
A BeyondTrust lançou o patch BT26-05 para clientes afetados antes da divulgação coordenada. Em 9 de outubro de 2026, a empresa havia aplicado a correção a todas as instâncias de clientes SaaS do Remote Support. Os clientes de SaaS não precisam aplicar manualmente o patch no próprio appliance.
Os clientes de Remote Support auto-hospedados executando a versão 24.3.1 até 26.2.3 devem instalar imediatamente o patch BT26-05-RS através da interface de gerenciamento do appliance. As organizações que executam uma versão mais antiga que 24.3.1 devem primeiro atualizar para uma versão suportada antes de aplicar o patch de segurança.
Embora a BeyondTrust tenha confirmado que o Remote Support é vulnerável, o Privileged Remote Access compartilha partes do código afetado. O fornecedor não identificou um método bem-sucedido para explorar o problema contra o PRA, mas lançou um patch correspondente como precaução e recomenda que os clientes auto-hospedados do PRA o apliquem.
As organizações devem considerar qualquer appliance de Remote Support acessível pela internet que permaneceu vulnerável durante a janela de exploração como potencialmente comprometido até que seja completamente investigado. Instalar o patch impede futuras explorações, mas não remove malware ou persistência estabelecida antes da remediação.
A Mandiant recomenda preservar evidências forenses antes de reiniciar ou reconstruir um appliance suspeito. Para appliances virtuais, isso inclui capturar a memória, quando possível, tirar um instantâneo e exportar o disco. As organizações também devem preservar registros de firewall externos, WAF, proxy reverso e SIEM cobrindo toda a janela de exposição.
Appliances confirmados ou potencialmente comprometidos devem ser isolados no perímetro. As organizações podem também restringir o tráfego de saída, mantendo apenas o acesso essencial à infraestrutura de atualização e licenciamento da BeyondTrust.
Se o comprometimento no nível do host for confirmado ou não puder ser descartado, a Mandiant recomenda reconstruir o appliance a partir de uma imagem limpa e totalmente corrigida, em vez de tentar remover componentes maliciosos individualmente. A persistência no nível do host observada na campanha pode sobreviver a reinicializações e redefinições de configuração.
A rotação de credenciais deve ocorrer apenas após o appliance comprometido ter sido corrigido, isolado ou reconstruído. Caso contrário, novas credenciais podem se tornar imediatamente acessíveis a um invasor que mantenha controle do sistema.
Credenciais prioritárias para rotação incluem administradores de appliances, administradores de Remote Support, segredos de cliente de API, chaves SAML, contas de ligação de serviço de diretório, credenciais de Vault de Remote Support, segredos de integração e credenciais inseridas durante sessões de suporte potencialmente comprometidas.
Para detectar a exploração do CVE-2026-102764, as equipes de segurança devem correlacionar requisições web e eventos de criação de arquivos com mudanças de conta, atividade de sessão de suporte, transferências de arquivos inesperadas, conexões suspeitas de WebSocket e lacunas em registros encaminhados externamente.
Os IOCs (Indicadores de Comprometimento) publicados para o CVE-2026-102764 incluem o nome de arquivo do webshell SAWFLY mangoapi.php com SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb, o binário BARECLAW ingredi_ws com SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462, e o caminho de staging app_84304470.php.
Indicadores de comportamento adicionais incluem a criação de /usr/bin/dbus-authd com permissões SUID, o script de inicialização zz-root-persist, mudanças suspeitas em /ns/config/sudoers.template, modificações inesperadas em /ns/config/haproxy.conf e o caminho WebSocket /uidchanarge.
As equipes de segurança também devem revisar eventos de auditoria do BeyondTrust para aumentos inesperados em permissões de Item de Salto ou Equipe, contas de API ou usuários recém-criados, logins suspeitos de administrador, sessões de transferência de arquivos inexplicadas e alterações nos destinos de registro de saída.
Como o ARMORY CASTLE sistematicamente deletou logs locais durante a intrusão observada, as organizações não devem confiar exclusivamente em evidências residentes no appliance. O encaminhamento centralizado de logs, a telemetria de rede no perímetro, os logs do proxy reverso e a telemetria do endpoint a jusante são essenciais para reconstruir um possível compromisso.
A BeyondTrust também recomenda restringir o acesso às interfaces /login e /appliance, impor MFA resistente a phishing para administradores, minimizar contas privilegiadas locais, limitar permissões de API e aplicar filtragem de saída padrão-deny onde operacionalmente viável.
A Plataforma de Detecção Inteligente Nativa em IA da SOC Prime pode ajudar as equipes de segurança a operacionalizar a inteligência de ameaças mais recente sobre a atividade do ARMORY CASTLE e acelerar a caça comportamental em telemetria de identidade, rede, endpoint e appliance.
FAQ
O que é o CVE-2026-102764 e como ele funciona?
CVE-2026-102764 é uma vulnerabilidade crítica no BeyondTrust Remote Support causada por validação inadequada das origens das mensagens dentro de um componente de mensagem interna. Um invasor remoto não autenticado pode explorar a fraqueza para executar operações de arquivos em um appliance vulnerável. Nos ataques observados, o ARMORY CASTLE usou a falha para estabelecer um ponto de apoio inicial antes de implantar webshells, escalar privilégios e obter controle em nível root.
Quando o CVE-2026-102764 foi descoberto pela primeira vez?
A BeyondTrust observou que o ARMORY CASTLE explorou com sucesso o zero-day em 29 de agosto de 2026. A caça proativa de ameaças pela empresa identificou a atividade em 28 de setembro, reproduziu a vulnerabilidade no mesmo dia e começou a desenvolver uma correção. O patch foi lançado para clientes em 8 de outubro, as implantações SaaS estavam totalmente corrigidas até 9 de outubro e a divulgação pública coordenada ocorreu em 15 de outubro de 2026.
Qual é o impacto do CVE-2026-102764 nos sistemas?
A exploração bem-sucedida pode permitir operações de arquivos arbitrárias em um appliance BeyondTrust Remote Support e estabelecer um caminho para compromissos mais profundos. Em ataques documentados, o ARMORY CASTLE implantou o webshell SAWFLY, escalou privilégios para root, tentou extrair credenciais, criou acesso administrativo persistente, implantou o túnel BARECLAW, modificou configurações do appliance e se dirigiu a sistemas internos.
O CVE-2026-102764 ainda pode me afetar em 2026?
Sim. Aparelhos BeyondTrust Remote Support auto-hospedados executando a versão 26.2.3 ou anterior permanecem em risco, a menos que o patch BT26-05 tenha sido aplicado. Aparelhos mais antigos que 24.3.1 devem ser atualizados primeiro. Instâncias de Remote Support SaaS foram corrigidas pela BeyondTrust até 9 de outubro de 2026.
Como posso me proteger do CVE-2026-102764?
Instale imediatamente o patch BT26-05, investigue appliances que estavam acessíveis pela internet enquanto vulneráveis, preserve telemetria externa e forense, e reconstrua sistemas onde o compromisso for confirmado ou não puder ser excluído. Rode credenciais privilegiadas somente após a contenção, restrinja as interfaces de administração do appliance, implemente MFA, e continue monitorando as orientações da BeyondTrust para detalhes atualizados sobre o CVE-2026-102764.
