CVE-2026-102764：关键的BeyondTrust远程支持零日漏洞被中国关联黑客利用

BeyondTrust 已披露 CVE-2026-102764，这是一个在远程支持 (RS) 中的严重漏洞，被怀疑与中国相关的网络间谍行为者作为零日漏洞利用。该漏洞的 CVSS 4.0 得分为 9.3，可能允许未经身份验证的远程攻击者在易受攻击的设备上执行任意文件操作。

Google 威胁情报小组和 Mandiant 将观察到的利用行为归因于 ARMORY CASTLE，此前被跟踪为 UNC5221，也与 WARP PANDA 的名称有关。该组织有针对面向互联网的安全设备的历史记录，并利用此前未知的漏洞以获取对高价值环境的持久访问。

攻击早在 2026 年 8 月 29 日就开始了，当时威胁行为者成功利用了一个 BeyondTrust 托管的远程支持实例和一个自托管的设备。BeyondTrust 后来复现了该漏洞，开发了解决方案，并在 2026 年 10 月 15 日公开披露 CVE 之前开始分发 BT26-05 补丁。

成功利用该漏洞可为攻击者提供设备的立足点，该设备可提供特权远程访问，并可能包含或提供对管理凭据、API 密钥、支持会话和内部端点的访问。Mandiant 观察到攻击者升级特权到 root，部署自定义恶意软件，获取凭据，修改访问控制，并转移到下游系统。

组织可以利用 SOC Prime 的 AI 原生检测智能平台，加速在 SIEM、EDR、XDR 和数据湖环境中为新出现的漏洞和活动的利用活动进行威胁狩猎和检测工程。

Prime Architect 还可以帮助安全团队将技术威胁情报转化为检测逻辑、狩猎查询和特定环境的规则，同时支持更快地分析新披露的攻击技术。

联系销售

CVE-2026-102764 分析

CVE-2026-102764 影响的 BeyondTrust Remote Support 版本为 26.2.3 及以下。BeyondTrust 将该问题分类为在内部消息组件中存在的原始验证不当，属于 CWE-290。受影响的组件未充分验证收到消息的来源，在合适的条件下，允许远程攻击者在设备上执行文件操作。

该漏洞因其网络可访问的攻击向量、低攻击复杂性、不需要权限且无需用户交互而获得了 9.3 的 CVSS 4.0 得分。成功利用可能对机密性、完整性和可用性产生重大影响。

BeyondTrust 目前暂时不公布有关漏洞的低级技术细节，以便让自托管组织完成修复。然而，Mandiant 的事件响应调查提供了攻击者如何在利用弱点后操作的重大见解。

ARMORY CASTLE 利用该漏洞在 BeyondTrust 远程支持设备上安置恶意文件。Mandiant 观察到 POST 请求针对一个不寻常的 PHP 资源，然后在设备的网络可访问目录中创建一个名为 SAWFLY 的自定义 webshell。

SAWFLY 存储为 mangoapi.php，是一个轻量级的 PHP webshell，旨在隐藏其存在，同时提供互动命令执行。它结合使用自定义 Base32 通信层和 RC4 加密，仅在传入请求包含特定参数时响应。未通过此检查的请求将收到 HTTP 404 响应，帮助 webshell 逃避自动抓取和基本安全扫描。

webshell 最初由一个无特权的站点服务账户执行。为了获得 root 访问权，攻击者将 /bin/sh 复制到 /usr/bin/dbus-authd，将文件所有者更改为 root，并启用 SUID 权限位。执行此修改后的二进制文件然后提供持久的 root 级命令执行。

Root 访问使得 ARMORY CASTLE 对 BeyondTrust 设备及其特权访问数据具有显著控制权。Mandiant 观察到行为者滥用合法的 /ns/sbin/bt-secrets 管理实用工具试图检索存储在设备本地秘密库中的密码、API 密钥和其他凭据。

攻击者还采取措施在重启和配置重置期间保持访问。他们在 /home/bomgar/sbin/post_boot.d 下创建了一个名为 zz-root-persist 的启动脚本，并修改了设备的 sudoers 模板，使得被攻陷的服务账户获得无密码的 root 权限。

另一个自定义工具，BARECLAW，用于通过被攻陷设备建立秘密隧道。BARECLAW 是一个基于 C 的 SOCKS5 代理，通过 WebSockets 运行，并支持身份验证、流量混淆、目的地限制、上游代理和 TLS。

攻击者修改了设备的 HAProxy 配置，使得对一个特别选择的 WebSocket 路径的外部请求被透明地重定向到在 localhost 上监听的 BARECLAW。这使得隧道在基本外部端口扫描中保持隐藏，同时仍然可以通过设备的合法 HTTPS 面向基础设施到达。

妥协后活动扩展到了设备本身之外。ARMORY CASTLE 使用窃取或修改的 BeyondTrust 管理权限启动了对内部端点的远程支持会话，请求文件系统访问，并下载用于侦察的内部文档。

威胁行为者还进行了广泛的反取证操作。Mandiant 观察到认证日志、网络服务器记录、应用程序日志、PHP 日志以及与凭证库访问相关的记录被删除。这些行为强调了将设备遥测数据转发到攻击者在主机级攻陷后无法擦除的外部 SIEM 或日志库的重要性。

BeyondTrust 以中到高的信心将该活动归因于 ARMORY CASTLE，这与 Mandiant 的评估一致。该组织以前曾在长期间谍活动中利用边缘和远程访问产品（包括 Citrix NetScaler 和 Ivanti Connect Secure）中的漏洞。

当前披露不包括公开的 CVE-2026-102764 PoC。BeyondTrust 明确保留利用细节以减少模仿攻击的风险，同时易受攻击的自托管设备仍未打补丁。

为检测 CVE-2026-102764，捍卫者应调查异常的 PHP 文件、Web 目录中意外的文件创建、无法解释的 SUID 二进制、对 HAProxy 或 sudoers 模板的修改、可疑角色管理员 变更，以及设备日志转发中的中断。

CVE-2026-102764 缓解

BeyondTrust 在协调披露之前向受影响的客户发布了 BT26-05 补丁。截至 2026 年 10 月 9 日，该公司已为所有远程支持 SaaS 客户实例应用了该修复。SaaS 客户无需手动打补丁设备本身。

运行版本 24.3.1 到 26.2.3 的自托管远程支持客户应立即通过设备管理界面安装 BT26-05-RS 补丁。在应用安全补丁之前，运行旧于 24.3.1 版本的组织必须首先升级到支持的版本。

虽然 BeyondTrust 已确认远程支持存在漏洞，但特权远程访问共享部分受影响的代码。供应商尚未识别到利用该问题进行攻击的成功方法，但已发布相应补丁作为预防措施，并建议自托管特权远程访问客户应用。

组织应将任何在利用窗口期间保持易受攻击状态的互联网可访问的远程支持设备视为可能被妥协，直到彻底调查为止。安装补丁可以防止未来的利用，但无法删除在修复前建立的恶意软件或持久性。

Mandiant 建议在重新启动或重建可疑设备之前保留法医证据。对于虚拟设备，这包括在可能的情况下捕获内存、拍摄快照以及导出磁盘。组织还应保留整个暴露窗口的外部防火墙、WAF、反向代理和 SIEM 记录。

确认或可能被攻击的设备应在周边隔离。组织还可以限制外发流量，同时仅维护对必需的 BeyondTrust 更新和许可基础设施的访问。

如果确认存在主机级妥协或无法排除，Mandiant 建议从干净、完全修补的镜像重建设备，而不是试图删除个别恶意组件。活动中观察到的主机级持久性可以在重启和配置重置后存活。

只有在被攻击的设备已打补丁、隔离或重建后，才应进行凭据轮换。否则，新凭据可能立即对控制系统的攻击者可访问。

优先轮转的凭据包括设备管理员、远程支持管理员、API 客户端密钥、SAML 密钥、目录服务绑定账户、远程支持保险库凭据、集成密钥，以及在可能被攻陷的支持会话期间输入的凭据。

为检测 CVE-2026-102764 利用行为，安全团队应将 Web 请求和文件创建事件与账户变更、支持会话活动、意外文件传输、可疑的 WebSocket 连接和外部转发日志中的缺口相关联。

公布的 CVE-2026-102764 IOC 包括文件名为 mangoapi.php 的 SAWFLY webshell，SHA-256 为 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb，BARECLAW 使用的二进制 ingredi_ws 的 SHA-256 为 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462，以及路径 app_84304470.php。

其他行为指标包括创建具有 SUID 权限的 /usr/bin/dbus-authd，zz-root-persist 启动脚本，对 /ns/config/sudoers.template 的可疑更改，对 /ns/config/haproxy.conf 的意外修改，以及 WebSocket 路径 /uidchanarge。

安全团队还应检查 BeyondTrust 审核事件，以发现 Jump Item 或团队权限的意外增加、新创建的 API 账户或用户、可疑的管理员登录、无法解释的文件传输会话以及对外发日志目的地的更改。

由于 ARMORY CASTLE 在观察到的入侵期间系统性地删除了本地日志，组织应不完全依赖设备驻留的证据。集中日志转发、周边网络遥测、反向代理日志和下游端点遥测对于重构潜在的妥协至关重要。

BeyondTrust 还建议限制对 /login 和 /appliance 界面的访问，实施抗钓鱼性强的 MFA 以保护管理员，最小化本地特权账户，限制 API 权限，并在操作上可行的情况下应用默认拒绝的外发过滤。

SOC Prime 的 AI 原生检测智能平台可帮助安全团队将最新的 ARMORY CASTLE 活动威胁情报应用于行动，并加快在身份、网络、端点和设备遥测上的行为狩猎。