Wprowadzenie do problemu / definicja
BeyondTrust Remote Support to rozwiązanie wykorzystywane do zdalnej administracji, pomocy technicznej i obsługi uprzywilejowanego dostępu do systemów końcowych. Tego typu platformy są szczególnie atrakcyjnym celem dla grup APT, ponieważ kompromitacja jednego appliance’u może otworzyć drogę do wielu kolejnych zasobów w organizacji.
Opisywany incydent dotyczy wykorzystania podatności zero-day oznaczonej jako CVE-2026-102764. Luka umożliwiła przejęcie podatnych instancji BeyondTrust Remote Support i wykorzystanie ich jako punktu wejścia do dalszej infiltracji środowiska ofiary.
W skrócie
- Za atakiem ma stać chińskojęzyczna grupa cyberszpiegowska Armory Castle, znana także jako UNC5221 lub Warp Panda.
- Napastnicy wykorzystali lukę CVE-2026-102764 w BeyondTrust Remote Support.
- Po uzyskaniu dostępu wdrażali web shell SAWFLY, eskalowali uprawnienia do roota i pozyskiwali sekrety oraz poświadczenia.
- Przejęte appliance’y służyły następnie do przemieszczania się do systemów wewnętrznych z użyciem legalnych funkcji platformy.
Kontekst / historia
Armory Castle od dłuższego czasu jest łączona z operacjami wymierzonymi w urządzenia brzegowe i rozwiązania bezpieczeństwa. Grupie przypisywano wcześniej kampanie wykorzystujące luki zero-day w technologiach takich jak Citrix NetScaler czy Ivanti Connect Secure. Charakterystyczne dla tego aktora jest selektywne dobieranie ofiar oraz używanie nieujawnionych jeszcze podatności przed publikacją poprawek.
W analizowanym przypadku exploit miał zostać użyty pod koniec sierpnia 2026 roku przeciwko pojedynczemu, samoobsługiwanemu wdrożeniu BeyondTrust Remote Support. Po wykryciu podobnej aktywności wobec innego dostawcy urządzeń bezpieczeństwa producent rozpoczął dochodzenie, a następnie opublikował poprawki dla klientów SaaS oraz zalecenia aktualizacyjne dla środowisk self-hosted.
Analiza techniczna
Podatność CVE-2026-102764 wynikała z niewystarczającej walidacji pochodzenia komunikatów w wewnętrznym komponencie aplikacji. W praktyce pozwalało to zdalnemu atakującemu wykonywać operacje na plikach appliance’u, co stanowiło skuteczną bazę do dalszej eskalacji uprawnień i utrwalenia dostępu.
Po skutecznym wykorzystaniu luki operatorzy wdrażali lekki web shell PHP o nazwie SAWFLY. Zapewniał on zdalny, interaktywny dostęp oraz szyfrowany kanał komunikacji C2. Ruch był dodatkowo maskowany przy użyciu komercyjnych usług VPN oraz przejętych routerów domowych i małych biur, co utrudniało identyfikację źródła aktywności.
Kolejny etap obejmował eskalację uprawnień do poziomu root. Napastnicy kopiowali powłokę systemową do pliku podszywającego się pod legalny komponent, a następnie modyfikowali właściciela i ustawienia SUID. Taka technika pozwalała na trwałe utrzymanie pełnej kontroli administracyjnej nad urządzeniem, również po restarcie.
Istotnym elementem operacji było pozyskiwanie sekretów przechowywanych lokalnie. Atakujący wykorzystywali natywne narzędzia CLI platformy do odczytu haseł, kluczy API i poświadczeń endpointów. Analizowali także szablony konfiguracyjne, aby uzyskać bezhasłowy dostęp root do kont serwisowych.
Po przejęciu kont administracyjnych operatorzy pivotowali do samej aplikacji Remote Support i wykorzystywali listę zasobów dostępnych do połączeń zdalnych. Dzięki temu mogli uruchamiać sesje wsparcia do systemów wewnętrznych, uzyskiwać dostęp do plików hostów, prowadzić rekonesans sieci oraz eksfiltrować wrażliwe dane.
W kampanii pojawił się również niestandardowy tuneler SOCKS5 w języku C o nazwie BARECLAW. Służył on do przekazywania połączeń TCP między zdalnym klientem a systemami docelowymi przez przejęte urządzenie BeyondTrust. Dodatkowo napastnicy modyfikowali konfigurację reverse proxy, aby zapewnić zdalną dostępność komponentu z Internetu, a na końcu systematycznie usuwali logi systemowe, serwera WWW i aplikacji.
Konsekwencje / ryzyko
Ryzyko związane z tym incydentem jest bardzo wysokie, ponieważ platforma do zdalnego wsparcia często działa jako centralny punkt uprzywilejowanego dostępu. Kompromitacja takiego systemu może prowadzić do kradzieży poświadczeń, przejęcia sesji administracyjnych, lateral movement oraz dostępu do wielu hostów końcowych bez potrzeby ich bezpośredniego atakowania.
Szczególnie niepokojący jest poziom znajomości wewnętrznych mechanizmów platformy po stronie napastników. Sugeruje to wysokie przygotowanie operacyjne, skuteczność obchodzenia zabezpieczeń i możliwość przeniesienia podobnych technik na inne rozwiązania klasy remote support lub privileged access.
Największe zagrożenie dotyczy organizacji, których podatne instancje były wystawione do Internetu w okresie aktywnej eksploatacji. W takich przypadkach samo wdrożenie poprawki może nie wystarczyć, ponieważ atakujący mogli już uzyskać trwały dostęp, przechwycić sekrety lub pozostawić mechanizmy persistence.
Rekomendacje
Organizacje korzystające z BeyondTrust Remote Support powinny w pierwszej kolejności zweryfikować wersję wdrożenia i niezwłocznie zastosować poprawki udostępnione przez producenta. W przypadku instancji self-hosted należy dodatkowo ustalić, czy urządzenie było osiągalne z Internetu w czasie wskazywanym jako okno eksploatacji.
Każdą podatną instancję publicznie dostępną warto traktować jako potencjalnie skompromitowaną do czasu zakończenia pełnej analizy śledczej. Taki przegląd powinien obejmować:
- kontrolę integralności plików systemowych,
- poszukiwanie nietypowych binariów z ustawionym bitem SUID,
- analizę zmian w konfiguracjach reverse proxy,
- walidację kont administracyjnych,
- przegląd artefaktów wskazujących na obecność web shelli i tunelerów.
Zalecana jest również natychmiastowa rotacja wszystkich sekretów przechowywanych lub obsługiwanych przez appliance, w tym haseł uprzywilejowanych, kluczy API, tokenów integracyjnych i poświadczeń używanych do łączenia z systemami końcowymi. Jeśli urządzenie służyło do uruchamiania sesji do serwerów i stacji roboczych, dochodzenie powinno objąć także te systemy podrzędne.
Od strony obronnej warto ograniczyć ekspozycję appliance’ów administracyjnych do Internetu, wdrożyć segmentację sieci, wzmocnić monitoring sesji uprzywilejowanych i centralizować logi poza samym urządzeniem. Dodatkowo wskazane jest opracowanie reguł detekcyjnych dla nietypowych operacji na plikach binarnych, modyfikacji konfiguracji proxy, odczytu sekretów oraz uruchamiania niestandardowych tuneli TCP.
Podsumowanie
Incydent związany z CVE-2026-102764 pokazuje, że platformy zdalnego wsparcia pozostają celem o wysokim priorytecie dla zaawansowanych grup cyberszpiegowskich. Wykorzystanie zero-day w BeyondTrust Remote Support umożliwiło przejęcie appliance’u, kradzież sekretów, utrwalenie dostępu i pivot do systemów wewnętrznych.
Dla zespołów bezpieczeństwa kluczowe znaczenie mają szybkie aktualizacje, uznawanie publicznie dostępnych podatnych instancji za potencjalnie naruszone oraz rozszerzenie dochodzenia na wszystkie systemy, do których urządzenie mogło zapewniać dostęp uprzywilejowany.
Źródła
- The Hacker News — https://thehackernews.com/2026/10/china-linked-hackers-exploited.html
- BeyondTrust Advisory for CVE-2026-102764 — https://www.beyondtrust.com/
- BeyondTrust Timeline of Events — https://www.beyondtrust.com/
- Google Cloud / Mandiant Threat Intelligence — https://cloud.google.com/