China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers
The Hacker News · 16 oct, 08:55
El grupo de espionaje cibernético Armory Castle, vinculado a China, explotó un zero-day en BeyondTrust Remote Support (CVE-2026-102764, CVSS 9.3) a finales de agosto de 2026 para comprometer servidores de soporte remoto. La vulnerabilidad radica en validación inadecuada del origen de mensajes en un componente interno, permitiendo operaciones de archivos en el dispositivo. BeyondTrust ha desplegado parches para clientes SaaS desde el 9 de octubre, pero los clientes auto-hospedados deben actualizar manualmente.
Armory Castle explotó la vulnerabilidad como zero-day en un único dispositivo auto-hospedado el 29 de agosto de 2026. La investigación se activó el 27 de septiembre tras hacerse pública la explotación de otro proveedor de seguridad. El grupo tiene un historial documentado de explotar zero-days en Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282), dirigiéndose a servicios legales, proveedores SaaS, subcontratistas de procesos empresariales, tecnología y gobiernos.
Tras la explotación exitosa, Mandiant detectó el despliegue de un web shell PHP llamado SAWFLY para acceso remoto interactivo y comunicación C2 cifrada bidireccional. Los operadores utilizan nodos VPN comerciales y routers comprometidos para camuflarse. El actor muestra comprensión profunda de las entrañas del dispositivo BeyondTrust: modifica permisos SUID, abusa de la utilidad CLI propietaria "/ns/sbin/bt-secrets" para robar credenciales, establece túneles SOCKS5 con BARECLAW, y borra registros de sistema para evadir detección. BeyondTrust advierte que cualquier dispositivo accesible desde Internet en versión vulnerable durante la ventana de explotación debe considerarse potencialmente comprometido.
Puntos clave
- CVE-2026-102764 explotado como zero-day a finales de agosto de 2026, validación inadecuada de origen de mensajes
- Versiones afectadas 24.3.1 a 26.2.3; versiones anteriores requieren actualización a versión más nueva antes de aplicar BT26-05-RS
- Clientes SaaS parchados desde 9 de octubre 2026; clientes auto-hospedados deben actualizar manualmente
- Post-explotación: web shell SAWFLY, escalada de privilegios, robo de credenciales, movimiento lateral, exfiltración de documentos
- Armory Castle selecciona objetivos de alto valor y mantiene modelos de productos en contexto de IA para desarrollar cadenas de exploit
Figuras de la fuente
