BeyondTrust retter nulldagssårbarhet etter angrep som har pågått siden august

BeyondTrust har rettet en kritisk sårbarhet som gjør det mulig å omgå autentisering, og som angripere har utnyttet siden slutten av august. Denne nulldagssårbarheten i BeyondTrust påvirker Remote Support-enheter og har muliggjort innbrudd som involverer eksponering av påloggingsopplysninger, spesialutviklet skadevare og videre spredning til tilkoblede systemer.

Sårbarheten, registrert som CVE-2026-102764, påvirker Remote Support versjon 26.2.3 og eldre. Den gjør det mulig for eksterne angripere uten forhøyede rettigheter å utføre filoperasjoner på sårbare enheter.

BeyondTrust sikret sine SaaS-kunder for Remote Support og Privileged Remote Access 8. oktober. Kunder med egenhostede installasjoner må imidlertid installere sikkerhetsoppdateringen manuelt, med mindre automatiske oppdateringer er aktivert.

Forskere knytter angrepene til mistenkt spionasjegruppe

Mandiant og Google Threat Intelligence Group tilskriver aktiviteten Armory Castle, en mistenkt Kina-tilknyttet spionasjeaktør som tidligere ble sporet som UNC5221. CrowdStrike sporer aktøren under navnet Warp Panda.

Ifølge Mandiant utnyttet angriperne først sårbarheten for å få tilgang til eksponerte enheter. Deretter aktiverte de Set User ID-rettigheter for å eskalere privilegiene fra webtjenestens konto til root-rettigheter.

Denne forhøyede tilgangen ga dem kontroll over enheten og tilgang til påloggingsopplysninger som den lagret eller behandlet. I tillegg kunne de endre filer på en måte som gjorde at endringene kunne overleve omstarter og tilbakestillinger av konfigurasjonen.

Dette skillet er viktig fordi installasjon av en sikkerhetsoppdatering ikke fastslår om en angriper allerede har kompromittert enheten.

Angriperne installerte webshell og skadevare for tunnellering

Etter å ha fått tilgang installerte angriperne et nytt webshell kalt Sawfly og et tunnelleringsverktøy med navnet Bareclaw.

De slettet også logger for å skjule aktiviteten sin. Deretter brukte de kompromitterte administratoropplysninger til å åpne eksterne økter på andre systemer i ofrenes nettverk.

Angrepet strakte seg dermed utover den opprinnelige Remote Support-enheten. Enhetens plassering i virksomhetenes supportinfrastruktur ga angriperne en vei videre til flere systemer og sensitive påloggingsopplysninger.

Mandiant anbefalte organisasjoner å behandle sårbare enheter som var eksponert mot internett i utnyttelsesperioden, som potensielt kompromitterte inntil de er undersøkt.

Mer enn 1 400 instanser er synlige på internett

Shadowserver sporer mer enn 1 400 internetteksponerte instanser av BeyondTrust Remote Support og Privileged Remote Access.

Dette tallet representerer imidlertid ikke et bekreftet antall sårbare eller kompromitterte systemer. Tilgjengelige data viser ikke hvor mange administratorer som har oppdatert enhetene sine, eller hvor mange instanser som er honeypots.

Eksponeringen understreker likevel viktigheten av å kontrollere berørte installasjoner raskt.

For kunder med egenhostede installasjoner er det umiddelbare kravet å bekrefte at den relevante sikkerhetsoppdateringen faktisk er installert.

Tidligere kampanjer tyder på at utnyttelsen kan øke

Armory Castle har tidligere rettet angrep mot sårbarheter i Citrix NetScaler og Ivanti Connect Secure for å trenge inn i bedriftsnettverk.

Ifølge Mandiant har gruppen noen ganger gått fra målrettede nulldagsangrep til mer omfattende utnyttelse etter offentliggjøring av sårbarheter. Derfor advarte forskere om at en lignende utvikling kan følge etter publiseringen av nulldagssårbarheten i BeyondTrust.

Advarselen beskriver en mulig utvikling, ikke bekreftet omfattende utnyttelse av denne sårbarheten.

Hendelsen følger også tidligere angrep mot BeyondTrust-produkter, inkludert utnyttelse av den separate sårbarheten CVE-2026-1731 i løsepengevirusaktivitet. Disse hendelsene involverte andre sårbarheter og må ikke forveksles med den nåværende kampanjen.

For berørte organisasjoner innebærer håndteringen både å utbedre sårbarheten og undersøke mulig tidligere uautorisert tilgang. Kontroll på root-nivå, eksponerte påloggingsopplysninger og vedvarende filendringer betyr at en sikkerhetsoppdatering alene ikke kan fjerne alle konsekvensene av et innbrudd.