BeyondTrust schließt Zero-Day-Sicherheitslücke nach Angriffen, die bis in den August zurückreichen

BeyondTrust hat eine kritische Schwachstelle zur Umgehung der Authentifizierung behoben, die Angreifer seit Ende August ausnutzen. Die BeyondTrust-Zero-Day-Sicherheitslücke betrifft Remote-Support-Appliances und ermöglichte Angriffe, bei denen Zugangsdaten offengelegt, speziell entwickelte Schadsoftware eingesetzt und weitere verbundene Systeme kompromittiert wurden.

Die als CVE-2026-102764 registrierte Schwachstelle betrifft Remote Support in Version 26.2.3 und früheren Versionen. Sie ermöglicht entfernten Angreifern ohne erhöhte Berechtigungen, Dateioperationen auf anfälligen Appliances durchzuführen.

BeyondTrust sicherte seine SaaS-Kunden für Remote Support und Privileged Remote Access am 8. Oktober ab. Kunden mit selbst gehosteten Installationen müssen den Sicherheitspatch jedoch manuell installieren, sofern automatische Updates nicht aktiviert sind.

Forscher bringen Angriffe mit mutmaßlicher Spionagegruppe in Verbindung

Mandiant und die Google Threat Intelligence Group schreiben die Aktivitäten Armory Castle zu, einem mutmaßlich mit China verbundenen Spionageakteur, der zuvor unter der Bezeichnung UNC5221 verfolgt wurde. CrowdStrike führt den Akteur unter dem Namen Warp Panda.

Laut Mandiant nutzten die Angreifer zunächst die Schwachstelle aus, um Zugriff auf exponierte Appliances zu erhalten. Anschließend aktivierten sie Set-User-ID-Berechtigungen, um ihre Rechte vom Webdienstkonto auf Root-Berechtigungen auszuweiten.

Dieser erweiterte Zugriff verschaffte ihnen die Kontrolle über die Appliance sowie Zugang zu Anmeldedaten, die das Gerät speicherte oder verarbeitete. Darüber hinaus konnten sie Dateien so verändern, dass die Änderungen auch nach Neustarts und dem Zurücksetzen der Konfiguration bestehen blieben.

Diese Unterscheidung ist wichtig, da die Installation eines Sicherheitspatches nicht klärt, ob ein Angreifer die Appliance bereits kompromittiert hat.

Angreifer installierten Webshell und Tunneling-Malware

Nachdem die Angreifer Zugriff erlangt hatten, installierten sie eine neue Webshell namens Sawfly und ein Tunneling-Tool mit der Bezeichnung Bareclaw.

Außerdem löschten sie Protokolldateien, um ihre Aktivitäten zu verbergen. Anschließend nutzten sie kompromittierte Administrator-Anmeldedaten, um Remote-Sitzungen auf weiteren Systemen innerhalb der Netzwerke ihrer Opfer zu öffnen.

Der Angriff ging somit über die ursprünglich betroffene Remote-Support-Appliance hinaus. Deren Position innerhalb der Supportinfrastruktur von Unternehmen eröffnete den Angreifern einen Weg zu weiteren Systemen und sensiblen Zugangsdaten.

Mandiant empfahl Organisationen, anfällige Appliances, die während des Ausnutzungszeitraums über das Internet erreichbar waren, bis zu einer entsprechenden Untersuchung als potenziell kompromittiert zu betrachten.

Mehr als 1.400 Instanzen sind im Internet sichtbar

Shadowserver erfasst mehr als 1.400 über das Internet erreichbare Instanzen von BeyondTrust Remote Support und Privileged Remote Access.

Diese Zahl stellt jedoch keine bestätigte Anzahl anfälliger oder kompromittierter Systeme dar. Die verfügbaren Daten zeigen weder, wie viele Administratoren ihre Appliances bereits aktualisiert haben, noch wie viele Instanzen Honeypots sind.

Dennoch verdeutlicht die Exponierung, wie wichtig eine zeitnahe Überprüfung betroffener Installationen ist.

Für Kunden mit selbst gehosteten Installationen besteht die unmittelbare Anforderung darin, zu bestätigen, dass das entsprechende Sicherheitsupdate tatsächlich installiert wurde.

Frühere Kampagnen deuten auf mögliche Ausweitung der Angriffe hin

Armory Castle hat bereits zuvor Schwachstellen in Citrix NetScaler und Ivanti Connect Secure ausgenutzt, um in Unternehmensnetzwerke einzudringen.

Laut Mandiant ist die Gruppe nach der öffentlichen Bekanntgabe von Schwachstellen teilweise von gezielten Zero-Day-Angriffen zu einer breiteren Ausnutzung übergegangen. Daher warnten Forscher, dass nach der Veröffentlichung der BeyondTrust-Zero-Day-Sicherheitslücke eine ähnliche Entwicklung folgen könnte.

Diese Warnung beschreibt eine mögliche Entwicklung und keine bestätigte weitverbreitete Ausnutzung der aktuellen Schwachstelle.

Der Vorfall folgt außerdem auf frühere Angriffe gegen BeyondTrust-Produkte, darunter die Ausnutzung der separaten Schwachstelle CVE-2026-1731 im Rahmen von Ransomware-Aktivitäten. Diese Vorfälle betrafen andere Sicherheitslücken und sollten nicht mit der aktuellen Kampagne verwechselt werden.

Für betroffene Organisationen umfasst die Reaktion sowohl die Behebung der Schwachstelle als auch die Untersuchung möglicher früherer unbefugter Zugriffe. Kontrolle auf Root-Ebene, offengelegte Zugangsdaten und dauerhafte Dateiänderungen bedeuten, dass ein Sicherheitspatch allein nicht sämtliche Folgen eines erfolgreichen Angriffs beseitigen kann.