Un gruppo di spionaggio informatico legato alla Cina ha sfruttato come zero-day una vulnerabilità di BeyondTrust Remote Support per assumere il controllo di appliance di supporto remoto. La ricostruzione diffusa da BeyondTrust e da Mandiant descrive un attacco condotto con metodo, su un bersaglio scelto in anticipo, concluso con il furto di credenziali e il movimento verso i sistemi dei clienti.
La falla e la finestra di sfruttamento
La vulnerabilità, registrata come CVE-2026-102764 e valutata con un punteggio CVSS di 9,3, riguarda la validazione dell’origine dei messaggi in un componente interno di Remote Support. In determinate condizioni un attaccante remoto poteva sfruttarla per eseguire operazioni su file sull’appliance. Secondo BeyondTrust il gruppo, tracciato come Armory Castle (in passato UNC5221 o Warp Panda), l’ha usata su una singola appliance self-hosted il 29 agosto 2026; solo dopo la divulgazione di un’analoga compromissione presso un altro fornitore di apparati di sicurezza l’azienda ha avviato un’indagine interna. Le patch per i clienti SaaS sono state distribuite dal 9 ottobre 2026, mentre chi ospita Remote Support in proprio deve aggiornare manualmente alla patch BT26-05-RS se utilizza versioni dalla 24.3.1 alla 26.2.3.
Dal web shell al controllo dell’appliance
Superata la fase di accesso, gli attaccanti hanno installato SAWFLY, un web shell PHP leggero usato per l’accesso interattivo e per un canale di comando e controllo cifrato. Da lì la scalata: copia della shell di sistema in /usr/bin/dbus-authd con permessi SUID per ottenere privilegi di root, lettura dei segreti conservati dall’appliance tramite l’utilità proprietaria bt-secrets, abuso dei template di configurazione per ottenere privilegi sul conto di servizio. Con credenziali amministrative compromise il gruppo ha poi aperto sessioni remote verso i sistemi presenti nella lista dei Jump Item, scaricato documenti interni e incanalato il traffico attraverso BARECLAW, un proxy SOCKS5 scritto in C, reso raggiungibile da Internet con una modifica al file haproxy.conf. Infine ha cancellato log di sistema, web server e applicazione per ridurre la visibilità delle proprie azioni.
Le indicazioni operative
CISA ha aggiunto la CVE al catalogo delle vulnerabilità sfruttate attivamente e ha chiesto alle agenzie federali di applicare la patch entro il 19 ottobre 2026. Le raccomandazioni sono utili anche fuori dal perimetro pubblico: applicare la patch, limitare l’esposizione dell’appliance ai soli servizi necessari, condurre analisi forensi di rete e memoria, isolare gli apparati sospetti, cercare sessioni amministrative non riconosciute e ricostruire da uno stato noto e pulito. Mandiant aggiunge un criterio prudente: ogni appliance raggiungibile da Internet con una versione vulnerabile durante la finestra di sfruttamento va considerata potenzialmente compromessa finché non è stata verificata.
In sintesi. Le appliance di supporto remoto sono infrastrutture critiche: contengono credenziali, vedono molti sistemi e raramente ricevono la stessa attenzione di un firewall. Patch, riduzione dell’esposizione e capacità forense vanno pianificate prima dell’incidente.
Fonte: The Hacker News