BeyondTrust åtgärdar nolldagssårbarhet efter attacker som pågått sedan augusti

BeyondTrust har åtgärdat en kritisk sårbarhet som gör det möjligt att kringgå autentisering och som angripare har utnyttjat sedan slutet av augusti. Denna nolldagssårbarhet i BeyondTrust påverkar Remote Support-enheter och har möjliggjort intrång som innefattar exponering av inloggningsuppgifter, specialutvecklad skadlig kod och vidare spridning till anslutna system.

Sårbarheten, som identifieras som CVE-2026-102764, påverkar Remote Support version 26.2.3 och tidigare. Den gör det möjligt för fjärrangripare utan förhöjda behörigheter att utföra filoperationer på sårbara enheter.

BeyondTrust säkrade sina SaaS-kunder för Remote Support och Privileged Remote Access den 8 oktober. Kunder med egna installationer måste dock installera säkerhetsuppdateringen manuellt, såvida inte automatiska uppdateringar är aktiverade.

Forskare kopplar attackerna till misstänkt spionagegrupp

Mandiant och Google Threat Intelligence Group tillskriver aktiviteten Armory Castle, en misstänkt Kinaanknuten spionageaktör som tidigare spårats som UNC5221. CrowdStrike följer aktören under namnet Warp Panda.

Enligt Mandiant utnyttjade angriparna först sårbarheten för att få åtkomst till exponerade enheter. Därefter aktiverade de Set User ID-behörigheter för att höja sina privilegier från webbtjänstens konto till root-behörighet.

Den förhöjda behörigheten gav dem kontroll över enheten och tillgång till inloggningsuppgifter som den lagrade eller hanterade. Dessutom kunde de ändra filer på ett sätt som gjorde att ändringarna kunde finnas kvar efter omstarter och återställningar av konfigurationen.

Skillnaden är viktig eftersom installationen av en säkerhetsuppdatering inte visar om en angripare redan har komprometterat enheten.

Angriparna installerade webbskal och skadlig kod för tunnling

Efter att ha fått åtkomst installerade angriparna ett nytt webbskal kallat Sawfly och ett tunnlingsverktyg med namnet Bareclaw.

De raderade också loggar för att dölja sin aktivitet. Därefter använde de komprometterade administratörsuppgifter för att öppna fjärrsessioner på andra system inom offrens nätverk.

Attacken sträckte sig därmed bortom den ursprungliga Remote Support-enheten. Dess position i företagens supportinfrastruktur gav angriparna en väg till ytterligare system och känsliga inloggningsuppgifter.

Mandiant rekommenderade organisationer att betrakta sårbara enheter som varit exponerade mot internet under exploateringsperioden som potentiellt komprometterade tills de har undersökts.

Över 1 400 instanser är synliga på internet

Shadowserver spårar över 1 400 internetexponerade instanser av BeyondTrust Remote Support och Privileged Remote Access.

Den siffran motsvarar dock inte ett bekräftat antal sårbara eller komprometterade system. Tillgängliga uppgifter visar inte hur många administratörer som har uppdaterat sina enheter eller hur många instanser som är honeypots.

Exponeringen understryker ändå vikten av att snabbt kontrollera berörda installationer.

För kunder med egna installationer är det omedelbara kravet att bekräfta att den relevanta säkerhetsuppdateringen faktiskt har installerats.

Tidigare kampanjer tyder på att exploateringen kan öka

Armory Castle har tidigare riktat in sig på sårbarheter i Citrix NetScaler och Ivanti Connect Secure för att ta sig in i företagsnätverk.

Enligt Mandiant har gruppen ibland gått från selektiva nolldagsattacker till mer omfattande exploatering efter offentliggörandet av sårbarheter. Därför varnade forskare för att en liknande utveckling kan följa efter publiceringen av nolldagssårbarheten i BeyondTrust.

Varningen beskriver en möjlig utveckling snarare än en bekräftad omfattande exploatering av den aktuella sårbarheten.

Händelsen följer också på tidigare attacker mot BeyondTrust-produkter, inklusive utnyttjandet av den separata sårbarheten CVE-2026-1731 i ransomware-aktivitet. Dessa incidenter involverade andra sårbarheter och bör inte förväxlas med den aktuella kampanjen.

För berörda organisationer innebär hanteringen både att åtgärda sårbarheten och att undersöka eventuell tidigare obehörig åtkomst. Kontroll på root-nivå, exponerade inloggningsuppgifter och bestående filändringar innebär att en säkerhetsuppdatering ensam inte kan undanröja alla konsekvenser av ett intrång.