ARMORY CASTLE получила root в BeyondTrust Remote Support через 0-day

ARMORY CASTLE эксплуатировала уязвимость CVE-2026-102764 как 0-day

15 октября BeyondTrust сообщила об уязвимости CVE-2026-102764 в своем решении для удаленного доступа BeyondTrust Remote Support. Успешная эксплуатация позволяет загружать файлы на устройство произвольно. Аналитики Mandiant обнаружили, что группировка ARMORY CASTLE, связанная с КНР, использовала эту уязвимость как 0-day в конце августа 2026 года. Злоумышленники получили root-доступ к устройствам и установили постоянный доступ.

Злоумышленники загрузили веб-шелл SAWFLY и использовали утилиты BeyondTrust

После эксплуатации CVE-2026-102764 ARMORY CASTLE загрузила веб-шелл SAWFLY. Этот PHP-шелл обеспечивает двустороннюю зашифрованную связь через собственный протокол на базе Base32 и RC4. Для повышения привилегий до уровня root злоумышленники скопировали исполняемый файл /bin/sh в /usr/bin/dbus-authd, установили для него владельцем root и активировали Set User ID (SUID). Это позволило выполнять команды с правами root. Затем ARMORY CASTLE использовала утилиту bt-secrets для извлечения учетных данных из базы данных BeyondTrust. Для обеспечения постоянного доступа злоумышленники модифицировали конфигурационные шаблоны, добавив запись в /ns/config/sudoers.template. Это предоставило учетной записи сервиса парольный root-доступ. Для сокрытия следов ARMORY CASTLE удаляла системные и веб-логи. Для бокового перемещения использовался кастомный SOCKS5-прокси BARECLAW, который туннелировал трафик через WebSocket. Злоумышленники также модифицировали права доступа к Jump Items и Team, получив постоянный неограниченный доступ к удаленным сессиям.

Уязвимость затрагивает локальные установки BeyondTrust Remote Support

Уязвимость CVE-2026-102764 затрагивает локальные установки BeyondTrust Remote Support. Облачные установки не подвержены этой угрозе. Успешная эксплуатация позволяет злоумышленникам получить root-доступ к устройству. Это дает им возможность красть учетные данные, изменять файлы и получать доступ к другим системам через настроенные Jump Items. ARMORY CASTLE использовала эту возможность для проведения шпионажа.

Установите патчи безопасности BeyondTrust и проверьте логи

BeyondTrust выпустила патчи безопасности для устранения уязвимости CVE-2026-102764. Организациям следует немедленно установить эти обновления на локальные установки BeyondTrust Remote Support. Также рекомендуется провести проверку логов доступа, syslog, messages, thin-scc, brain и SSL на предмет признаков компрометации. Особое внимание следует уделить файлам в LUKS-зашифрованном разделе, содержащем /home. После установки патчей необходимо провести аудит безопасности и проверить конфигурацию прав доступа.