Suspected Chinese espionage attackers abusing BeyondTrust IT support zero-day
The Record · 16 oct, 15:00
Qué hacer: Aplica inmediatamente el parche de BeyondTrust para CVE-2026-102764 en todos los equipos Remote Support, especialmente aquellos accesibles desde Internet; revisa los registros desde el 29 de agosto para detectar signos de compromiso.
Un grupo de espías presuntamente chino está explotando un zero-day en los equipos Remote Support de BeyondTrust para realizar ataques de inteligencia. BeyondTrust, Mandiant y Google confirmaron la vulnerabilidad CVE-2026-102764 el jueves y han lanzado un parche; el grupo Armory Castle ha estado explotando la falla desde el 29 de agosto. Los atacantes escalan privilegios, se mueven lateralmente en la red víctima y acceden a todas las credenciales almacenadas en el equipo.
Armory Castle, una operación estatal china enfocada en la recopilación de inteligencia a largo plazo, ha sido identificada como responsable de los ataques. El grupo tiene como objetivo principales empresas de servicios legales, proveedores SaaS, terceristas de procesos empresariales, empresas de tecnología y gobiernos, y se cree que busca descubrir otros zero-days. Los investigadores de Mandiant observaron el uso de malware personalizado llamado Sawfly y Bareclaw, que permite a los atacantes modificar archivos que persisten tras reinicios y restablecimientos de configuración.
Según Google, Armory Castle ha estado activo desde octubre de 2023 y ha dirigido sus ataques a un amplio rango de países y sectores. Históricamente, el grupo aprovecha la divulgación pública de vulnerabilidades que había explotado selectivamente como zero-days, realizando una explotación generalizada antes de que se desplieguen los parches. El incidente se compara con campañas anteriores contra productos de Ivanti y Citrix, donde el grupo realizó una explotación masiva tras la divulgación de las fallas.
Puntos clave
- CVE-2026-102764 afecta a Remote Support appliances de BeyondTrust; explotación confirmada desde el 29 de agosto de 2026
- Se espera explotación generalizada después de la divulgación pública, similar a ataques previos contra Ivanti y Citrix
- Los equipos accesibles desde Internet deben considerarse potencialmente comprometidos hasta revisar si han sido afectados
- El parche ya está disponible; se recomiendan mitigaciones adicionales
Figuras de la fuente
