BeyondTrust retter nuldagssårbarhed efter angreb, der har stået på siden august

BeyondTrust har rettet en kritisk sårbarhed, der gør det muligt at omgå godkendelse, og som angribere har udnyttet siden slutningen af august. Denne nuldagssårbarhed i BeyondTrust påvirker Remote Support-enheder og har muliggjort indbrud, der involverer eksponering af loginoplysninger, specialudviklet malware og videre bevægelse ind i tilsluttede systemer.

Sårbarheden, der er registreret som CVE-2026-102764, påvirker Remote Support version 26.2.3 og tidligere. Den gør det muligt for fjernangribere uden forhøjede rettigheder at udføre filoperationer på sårbare enheder.

BeyondTrust sikrede sine SaaS-kunder for Remote Support og Privileged Remote Access den 8. oktober. Kunder med selvhostede installationer skal dog installere sikkerhedsopdateringen manuelt, medmindre automatiske opdateringer er aktiveret.

Forskere forbinder angrebene med mistænkt spionagegruppe

Mandiant og Google Threat Intelligence Group tilskriver aktiviteten Armory Castle, en formodet Kina-tilknyttet spionageaktør, der tidligere blev sporet som UNC5221. CrowdStrike sporer aktøren under navnet Warp Panda.

Ifølge Mandiant udnyttede angriberne først sårbarheden til at få adgang til eksponerede enheder. Derefter aktiverede de Set User ID-rettigheder for at eskalere deres privilegier fra webtjenestens konto til root-rettigheder.

Denne forhøjede adgang gav dem kontrol over enheden og adgang til loginoplysninger, som den lagrede eller håndterede. Desuden kunne de ændre filer på en måde, så ændringerne kunne overleve genstarter og nulstillinger af konfigurationen.

Denne forskel er vigtig, fordi installationen af en sikkerhedsopdatering ikke fastslår, om en angriber allerede har kompromitteret enheden.

Angriberne installerede webshell og malware til tunnellering

Efter at have fået adgang installerede angriberne et nyt webshell kaldet Sawfly og et tunnelleringsværktøj ved navn Bareclaw.

De slettede også logfiler for at skjule deres aktivitet. Efterfølgende brugte de kompromitterede administratoroplysninger til at åbne fjernsessioner på andre systemer i ofrenes netværk.

Angrebet strakte sig derfor ud over den oprindelige Remote Support-enhed. Enhedens placering i virksomhedernes supportinfrastruktur gav angriberne en vej til yderligere systemer og følsomme loginoplysninger.

Mandiant anbefalede organisationer at betragte sårbare enheder, der var eksponeret mod internettet i udnyttelsesperioden, som potentielt kompromitterede, indtil de er blevet undersøgt.

Mere end 1.400 instanser er synlige på internettet

Shadowserver sporer mere end 1.400 interneteksponerede instanser af BeyondTrust Remote Support og Privileged Remote Access.

Dette tal repræsenterer dog ikke et bekræftet antal sårbare eller kompromitterede systemer. De tilgængelige data viser ikke, hvor mange administratorer der har opdateret deres enheder, eller hvor mange instanser der er honeypots.

Eksponeringen understreger ikke desto mindre vigtigheden af hurtigt at kontrollere berørte installationer.

For kunder med selvhostede installationer er det umiddelbare krav at bekræfte, at den relevante sikkerhedsopdatering faktisk er installeret.

Tidligere kampagner tyder på, at udnyttelsen kan blive mere omfattende

Armory Castle har tidligere rettet angreb mod sårbarheder i Citrix NetScaler og Ivanti Connect Secure for at trænge ind i virksomhedsnetværk.

Ifølge Mandiant har gruppen nogle gange skiftet fra målrettede nuldagangreb til mere omfattende udnyttelse efter offentliggørelsen af sårbarheder. Derfor advarede forskere om, at en lignende udvikling kan følge efter offentliggørelsen af nuldagssårbarheden i BeyondTrust.

Advarslen beskriver en mulig udvikling snarere end bekræftet omfattende udnyttelse af denne sårbarhed.

Hændelsen følger også tidligere angreb mod BeyondTrust-produkter, herunder udnyttelsen af den separate sårbarhed CVE-2026-1731 i ransomware-aktivitet. Disse hændelser involverede andre sårbarheder og bør ikke forveksles med den aktuelle kampagne.

For berørte organisationer indebærer håndteringen både at lukke sårbarheden og undersøge mulig tidligere uautoriseret adgang. Kontrol på root-niveau, eksponerede loginoplysninger og vedvarende filændringer betyder, at en sikkerhedsopdatering alene ikke kan afhjælpe alle konsekvenserne af et indbrud.