Связываемая с Китаем группа Armory Castle в конце августа 2026 года использовала неизвестную на тот момент уязвимость в BeyondTrust Remote Support, ранее известном как Bomgar. По данным BeyondTrust, атаке подверглось одно самостоятельно размещённое устройство Remote Support.
Уязвимость получила идентификатор CVE-2026-102764 и оценку CVSS 9,3. Причина — недостаточная проверка источника сообщений во внутренних компонентах Remote Support. При определённых условиях удалённый атакующий мог использовать дефект для выполнения операций с файлами на устройстве.
Исправления и затронутые версии
BeyondTrust сообщила, что к 9 октября 2026 года исправления стали доступны всем клиентам SaaS-версии Remote Support.
Администраторам самостоятельно размещённых серверов Remote Support на версиях от 24.3.1 до 26.2.3 необходимо вручную установить патч BT26-05-RS. Экземпляры с версиями ниже 24.3.1 сначала потребуется обновить до версии, совместимой с исправлением.
Компания указывает, что 29 августа Armory Castle эксплуатировала CVE-2026-102764 как уязвимость нулевого дня против одного self-hosted-устройства. 27 сентября BeyondTrust узнала об успешной эксплуатации у другого поставщика защитных устройств, после чего начала искать схожую активность в собственных продуктах.
Действия после компрометации
По данным Mandiant, входящей в Google, после успешной эксплуатации злоумышленники развёртывали облегчённый PHP-веб-шелл SAWFLY. Он обеспечивал интерактивный удалённый доступ и двустороннюю зашифрованную C2-связь.
Для маскировки трафика атакующие использовали выходные узлы коммерческих VPN, а также скомпрометированные домашние и офисные маршрутизаторы. Через веб-шелл они повышали привилегии, получали административный контроль над устройством и закреплялись так, чтобы сохранять доступ после перезагрузки.
Исследователи зафиксировали получение root-доступа на хосте устройства: исполняемый файл системной оболочки /bin/sh копировался в /usr/bin/dbus-authd, после чего для нового файла назначались владелец root и SUID-бит. Это позволяло запускать его с правами владельца.
Также атакующие пытались извлечь учётные данные из встроенного хранилища секретов через проприетарную CLI-утилиту /ns/sbin/bt-secrets, предназначенную для управления паролями, API-ключами и учётными данными конечных точек. Отдельно исследователи описали атаки на шаблоны конфигурации BeyondTrust для получения root-прав без пароля учётной записи службы сайта.
Для задач централизованного анализа событий при разборе таких изменений конфигурации, обращений к административным интерфейсам и признаков очистки журналов можно учитывать Security Capsule SIEM. В данном случае особенно важно сопоставлять события самого устройства Remote Support с сетевой активностью и журналами систем, к которым через него открывались удалённые сессии.
После этого операторы переходили в интерфейс BeyondTrust Remote Support, используя скомпрометированные учётные данные администратора. Они проводили разведку и запускали удалённые сессии к системам из списка Jump Item. Расширенные административные привилегии позволяли использовать функции удалённой поддержки внутренних конечных точек, обращаться к их файловым системам, загружать и выводить внутренние документы для сетевой разведки.
Трафик атакующие туннелировали через устройство BeyondTrust с помощью BARECLAW — настраиваемого SOCKS5-прокси на C, который ретранслирует TCP-соединения между удалённым клиентом и конечными точками. Для прямого доступа к BARECLAW из интернета они изменяли файл /ns/config/haproxy.conf.
Ещё один элемент активности — систематическое удаление системных, веб-серверных и прикладных журналов, призванное затруднить обнаружение. По оценке Google Threat Intelligence Group и Mandiant, набор техник указывает на глубокое знание внутреннего устройства BeyondTrust Remote Support. В частности, операторы злоупотребляли закрытыми CLI-инструментами, шаблонами конфигурации автозапуска и маршрутизацией через локальный обратный прокси.
Профиль группы
Armory Castle также известна как UNC5221 и Warp Panda. Группа действует как минимум с октября 2023 года. Ранее она эксплуатировала уязвимости нулевого дня в Citrix NetScaler — CVE-2023-4966 — и Ivanti Connect Secure: CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282.
Эти атаки затрагивали организации из разных отраслей, включая юридические компании, SaaS-поставщиков, аутсорсинг бизнес-процессов, технологический сектор и государственные учреждения. Заявленной целью был длительный сбор разведывательной информации.
BeyondTrust характеризует тактику группы как выборочную эксплуатацию нулевых дней против заранее отобранных целей с переходом к массовым атакам на незащищённые экземпляры после публичного раскрытия дефекта. Компания также предварительно оценивает, что оператор выбирает ценные программные цели и поддерживает рабочую модель целевых продуктов в контексте ИИ, используя её при разработке цепочек эксплуатации. Это оценка BeyondTrust, а не подтверждённый факт для каждого инцидента.
Что проверить администраторам
В исходном материале нет сведений о подтверждённых атаках на российские организации. Тем не менее владельцам доступных из интернета самостоятельно размещённых экземпляров BeyondTrust Remote Support следует проверить версию продукта и применить соответствующее исправление.
GTIG и Mandiant рекомендуют считать потенциально скомпрометированным любое интернет-доступное устройство, работавшее на уязвимой версии в период эксплуатации CVE-2026-102764, пока оно не пройдёт проверку. В ходе расследования следует отдельно оценить признаки описанной активности: появление SAWFLY, изменения /usr/bin/dbus-authd, /ns/config/haproxy.conf и шаблонов конфигурации, использование BARECLAW, обращения к bt-secrets и очистку журналов.
Практический приоритет — установить патч, определить, был ли сервер доступен из интернета в уязвимый период, и провести расследование до возвращения устройства к доверенному состоянию.