CVE-2026-102764: Критична уразливість нульового дня в BeyondTrust Remote Support, експлуатована хакерами, пов’язаними з Китаєм

BeyondTrust оприлюднив CVE-2026-102764, критичну вразливість у Remote Support (RS), яка була експлуатована як zero-day підозрюваним кібер-шпигунським актором з китайським зв’язком. Вразливість має оцінку CVSS 4.0 9.3 і може дозволити неавтентифікованому віддаленому зловмиснику виконувати довільні операції з файлами на уразливому пристрої.

Google Threat Intelligence Group та Mandiant приписують спостережену експлуатацію ARMORY CASTLE, який раніше був відстежений як UNC5221 та також асоційований з ім’ям WARP PANDA. Група має історію на ураження безпекових пристроїв, що виходять у Інтернет, та експлуатації невідомих раніше вразливостей для здобуття тривалого доступу до важливих середовищ.

Атаки почалися ще 29 серпня 2026 року, коли зловмисник успішно експлуатував один з екземплярів Remote Support, що розміщувався на BeyondTrust та один самостійно розміщений пристрій. Згодом BeyondTrust відтворив вразливість, розробив виправлення та почав поширювати патч BT26-05 перед публічним оголошенням CVE 15 жовтня 2026 року.

Успішна експлуатація може надати зловмисникам можливість закріпитися на пристрої, який забезпечує привілейований віддалений доступ та може містити або надавати доступ до адміністративних облікових даних, секретів API, сесій підтримки та внутрішніх кінцевих точок. Mandiant спостерігав, як зловмисники підвищували привілеї до root, розгортали спеціалізовані шкідливі програми, збирали облікові дані, змінювали контроль доступу та перемикалися на системи нижчого рівня.

Організації можуть використовувати AI-Native Detection Intelligence Platform від SOC Prime для прискорення пошуку загроз та розробки методів виявлення для нових вразливостей та дій ними експлуатаційних кампаній у середовищах SIEM, EDR, XDR та Data Lake.

Prime Architect може також допомогти командам з безпеки перетворити технічну розвідку загроз у логіку виявлення, запити для пошуку та правила, специфічні для середовища, при цьому підтримуючи швидший аналіз нових розкритих технік атак.

Зв’язок з відділом продажів

Аналіз CVE-2026-102764

CVE-2026-102764 впливає на версії BeyondTrust Remote Support до версії 26.2.3 включно. BeyondTrust класифікує проблему як неналежну перевірку походження у внутрішньому компоненті обміну повідомленнями під CWE-290. Вражені компоненти не достатньо перевіряли походження отриманих повідомлень, що дозволяло віддаленому зловмиснику, за певних умов, виконувати операції з файлами на пристрої.

Недоліки отримали оцінку CVSS 4.0 9.3 з мережею доступу як вектор атаки, низькою складністю атаки, без вимог до привілеїв та без взаємодії з користувачем. Успішна експлуатація може мати високий вплив на конфіденційність, цілісність та доступність.

BeyondTrust наразі утримує деталі технічного рівня вразливості, поки організації, що розмістили їх самостійно, завершують усунення. Однак розслідування інцидентів Mandiant надає суттєве розуміння того, як зловмисники діяли після експлуатації вразливості.

ARMORY CASTLE експлуатував вразливість для розміщення шкідливих файлів на пристроях BeyondTrust Remote Support. Mandiant спостерігав запити POST, що цілеспрямовано атакували незвичайний ресурс PHP перед створенням спеціальної веб-шелла, названої SAWFLY, у каталогах пристрою, доступних через веб.

SAWFLY, збережений як mangoapi.php, є легким PHP веб-шелом, розробленим для приховування своєї присутності, забезпечуючи інтерактивне виконання команд. Вона використовує спеціально налаштований рівень комунікації Base32 у поєднанні з шифруванням RC4 і реагує лише тоді, коли вхідні запити містять певний параметр. Запити, що зазнають цієї перевірки, отримують відповідь HTTP 404, допомагаючи веб-шелу уникнути автоматизованих сканерів та базового сканування безпеки.

Спочатку веб-шел виконувався під аккаунтом неповнолітнього сайта. Щоб отримати root-доступ, зловмисники скопіювали /bin/sh до /usr/bin/dbus-authd, змінили власника файлу на root і встановили біти дозволу SUID. Виконання цього модифікованого бінарного файлу тоді забезпечувало постійне виконання команд на рівні root.

Доступ до кореневого рівня надав ARMORY CASTLE значний контроль над пристроєм BeyondTrust та його даними про привілейований доступ. Mandiant спостерігав, як актор зловживав легітимною адміністративною утилітою /ns/sbin/bt-secrets для спроби отримати паролі, ключі API та інші облікові дані, які зберігалися у власним сейфі пристрою.

Зловмисники також вжили заходів для підтримки доступу на різані перезапуски та скидання конфігурації. Вони створили сценарій запуску під назвою zz-root-persist у /home/bomgar/sbin/post_boot.d і модифікували шаблон sudoers пристрою так, щоб зламаний аккаунт сервісу отримав root-привілеї без пароля.

Ще один спеціальний інструмент, BARECLAW, був розгорнутий для встановлення прихованого тунелювання через зламаний пристрій. BARECLAW – це SOCKS5 проксі, заснований на C, який працює через WebSockets та може підтримувати автентифікацію, обфускацію трафіку, обмеження призначення, проксі пересилання та TLS.

Зловмисники модифікували конфігурацію HAProxy пристрою так, щоб зовнішні запити до спеціально обраного шляху WebSocket прозоро перенаправлялися до BARECLAW, що слухає на localhost. Це дозволило тунелуванню залишатися прихованим від базового зовнішнього сканування портів, залишаючись досяжним через легітимну інфраструктуру HTTPS, спрямовану на пристрій.

Пост-компромісна активність виходила за межі самого пристрою. ARMORY CASTLE використовував викрадені або змінені адміністративні дозволи BeyondTrust для ініціювання сесій віддаленої підтримки проти внутрішніх кінцевих точок, запитував доступ до файлової системи та завантажував внутрішні документи, корисні для розвідки.

Зловмисники також брали участь у масштабному анти-форензії. Mandiant спостерігав видалення журналів автентифікації, записів веб-серверів, журналів додатків, журналів PHP та записів, пов’язаних з доступом до сейфа облікових даних. Ці дії підкреслюють важливість пересилання телеметрії пристроїв до зовнішнього SIEM або сховища журналів, яке зловмисники не можуть видалити після компрометування на рівні хоста.

BeyondTrust приписує активність ARMORY CASTLE з середнім до високим рівнем впевненості, відповідним оцінці Mandiant. Група раніше експлуатувала вразливості у продуктах для віддаленого доступу та краю, зокрема Citrix NetScaler та Ivanti Connect Secure, як частину довготривалої шпигунської діяльності.

Поточне розголошення не включає публічний Proof of Concept для CVE-2026-102764. BeyondTrust чітко утримав деталі експлуатації, щоб зменшити ризик атак-наслідувань, поки уразливі самостійно розміщені пристрої залишаються без виправлення.

Для виявлення CVE-2026-102764 захисники повинні розслідувати нетипові PHP-файли, неочікуване створення файлів у каталогах, доступних через веб, незрозумілі SUID-бінарні файли, зміни у шаблонах HAProxy або sudoers, підозрілі зміни адміністратора і перерви у пересиланні журналів пристроїв.

Мітигація CVE-2026-102764

BeyondTrust випустила патч BT26-05 для постраждалих клієнтів перед координованим розголошенням. Станом на 9 жовтня 2026 року компанія застосувала виправлення до всіх екземплярів SaaS-клієнтів Remote Support. SaaS клієнти не повинні вручну патчувати сам пристрій.

Клієнти Self-hosted Remote Support, які використовують версії 24.3.1 по 26.2.3, повинні негайно встановити патч BT26-05-RS через інтерфейс управління пристроєм. Організації, що працюють на версіях старших за 24.3.1, повинні спочатку оновити до підтримуваної версії перед застосуванням патчу безпеки.

Хоча BeyondTrust підтвердила вразливість Remote Support, Privileged Remote Access розділяє деякі частини ураженого коду. Вендор не виявив успішного методу експлуатації проблеми у PRA, але випустив відповідний патч як запобіжний захід і рекомендує, щоб клієнти PRA, що розміщують його самостійно, застосували його.

Організації повинні розглядати будь-який пристрій Remote Support, доступний через Інтернет, що залишався вразливим під час вікна експлуатації, як потенційно скомпрометований, доки його не буде повністю перевірено. Встановлення патчу запобігає майбутнім експлуатаціям, але не видаляє шкідливе ПЗ чи стійкість, що була встановлена до усунення.

Mandiant рекомендує збереження судово-медичних матеріалів перед перезапуском або перебудовою підозрілого пристрою. Для віртуальних пристроїв це включає зняття пам’яті, де можливо, зніяття знімку та експорт диска. Організації повинні також зберігати журнали зовнішнього брандмауера, WAF, зворотного проксі та SIEM, що покривають весь період експозиції.

Підтверджені або потенційно скомпрометовані пристрої повинні бути ізольовані на периметрі. Організації можуть також обмежити вихідний трафік, зберігаючи доступ лише до необхідної інфраструктури оновлення та ліцензування BeyondTrust.

Якщо компрометація на рівні хоста підтверджена або не може бути виключена, Mandiant рекомендує перебудовувати пристрій з очищеного, повністю виправленого образу, а не намагатися видалити окремі шкідливі компоненти. Стійкість на рівні хоста, спостережувана в цій кампанії, може пережити перезапуски та скидання конфігурації.

Обертання обліковими даними повинно відбуватися лише після виправлення, ізоляції або перебудови скомпрометованого пристрою. Інакше нові облікові дані можуть одразу стати доступними для зловмисника, який зберігає контроль над системою.

Основні облікові дані для ротації включають адміністраторів пристроїв, адміністраторів Remote Support, секрети клієнтів API, ключі SAML, облікові записи зв’язків з службами каталогів, облікові дані Remote Support Vault, інтеграційні секрети та облікові дані, введені під час сесій підтримки, які можливо були скомпрометовані.

Для Виявлення експлуатації CVE-2026-102764 команди з безпеки повинні корелювати веб-запити та події створення файлів зі змінами акаунтів, активністю сесій підтримки, неочікуваними передачами файлів, підозрілими з’єднаннями WebSocket та прогалинами в зовнішньо пересланих журналах.

Опубліковані IOC CVE-2026-102764 включають ім’я веб-шела SAWFLY mangoapi.php із SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb, бінарний файл BARECLAW ingredi_ws із SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462 і шлях для розгортання app_84304470.php.

Додаткові поведінкові індикатори включають створення /usr/bin/dbus-authd з дозволами SUID, сценарій завантаження zz-root-persist, підозрілі зміни до /ns/config/sudoers.template, неочікувані модифікації до /ns/config/haproxy.conf та шлях до WebSocket /uidchanarge.

Команди безпеки повинні також переглядати події аудиту BeyondTrust для неочікуваного збільшення дозволів Jump Item або Team, новостворених облікових записів або користувачів API, підозрілих входів адміністратора, незрозумілих сесій передачі файлів та змін у напрямах вихідного журналювання.

Через те, що ARMORY CASTLE систематично видаляв локальні журнали під час спостережуваного вторгнення, організації не повинні покладатися виключно на докази, що розташовані на пристроях. Централізована пересилка журналів, телеметрія мережі периметру, журнали зворотного проксі і телеметрія кінцевих точок вниз по потоку є важливими для реконструкції потенційного компрометування.

Також BeyondTrust рекомендує обмежити доступ до інтерфейсів /login та /appliance, забезпечити стійку до фішингу MFA для адміністраторів, мінімізувати локальні привілейовані облікові записи, обмежити дозволи API та застосувати вихідну фільтрацію за замовчуванням на відмову там, де це можливо.

AI-Native Detection Intelligence Platform від SOC Prime може допомогти командам з безпеки впровадити останню інтелектуальну інформацію по загрозам ARMORY CASTLE і прискорити поведінкове полювання по телеметрії ідентичності, мережі, кінцевих точок та пристроїв.