Armory Castle эксплуатирует zero-day в BeyondTrust Remote Support: анализ CVE-2026-102764

Критическая уязвимость CVE-2026-102764 (CVSSv4 9.3) в BeyondTrust Remote Support эксплуатировалась как zero-day предположительно связанной с КНР группировкой Armory Castle (ранее UNC5221). По данным Mandiant (GTIG), эксплуатация началась 29 августа 2026 года на единичном самостоятельно размещённом устройстве. Уязвимость позволяет удалённому атакующему выполнять файловые операции на устройстве из-за недостаточной валидации источника сообщений во внутренних компонентах. Затронуты все версии Remote Support до 26.2.3 включительно. Патч BT26-05-RS для SaaS-клиентов был применён вендором 9 октября 2026 года; самостоятельно размещённые инсталляции требуют ручного обновления.

Техническая характеристика уязвимости

Согласно бюллетеню BeyondTrust, уязвимость связана с некорректной валидацией источника сообщений во внутреннем компоненте обмена сообщениями Remote Support. При определённых условиях это позволяет удалённому атакующему выполнять файловые операции на устройстве — критический вектор, открывающий путь к полной компрометации.

Затронутые версии и порядок обновления:

• SaaS-клиенты — патч применён BeyondTrust автоматически к 9 октября 2026 года.
• Самостоятельно размещённые версии 24.3.1–26.2.3 — необходимо вручную установить патч BT26-05-RS.
• Версии старше 24.3.1 — требуется сначала обновление до поддерживаемой версии, затем применение патча.

Важно учитывать: само по себе обновление не устраняет последствия возможной компрометации, произошедшей до установки патча. Любое устройство, которое было доступно из интернета на уязвимой версии в период эксплуатации, следует рассматривать как потенциально скомпрометированное и провести его проверку — это рекомендация, которую Mandiant формулирует явно.

Профиль атакующего и ход атаки

Атрибуция атаки группировке Armory Castle исходит от GTIG/Mandiant и является разведывательной оценкой, а не независимо подтверждённым фактом. По данным Mandiant, Armory Castle — предположительно связанный с КНР актор кибершпионажа, ранее отслеживавшийся как UNC5221. Группировка известна эксплуатацией zero-day уязвимостей в сетевых устройствах: CVE-2023-4966 в Citrix NetScaler, CVE-2023-46805 и CVE-2024-21887 в Ivanti Connect Secure, а также CVE-2025-0282 — все эти CVE внесены в каталог CISA KEV. Ранее мы уже освещали эксплуатацию уязвимостей Citrix NetScaler в контексте активных атак.

По описанию BeyondTrust, актор действует по характерной схеме: избирательно использует zero-day против заранее выбранных высокоценных целей, а после публичного раскрытия уязвимости переходит к массовой эксплуатации непропатченных инстансов. Вендор также отмечает, что, по его рабочей оценке, актор заранее выбирает целевые программные продукты и поддерживает рабочую модель этих продуктов для разработки цепочек эксплойтов.

Постэксплуатационные действия

Mandiant описывает многоступенчатую постэксплуатацию, демонстрирующую глубокое знание внутренней архитектуры устройств BeyondTrust:

• Начальный доступ и закрепление: развёртывание PHP-веб-оболочки SAWFLY для интерактивного удалённого доступа с шифрованным двунаправленным C2-каналом. Для маскировки трафика использовались коммерческие VPN-узлы и скомпрометированные домашние маршрутизаторы.
• Эскалация привилегий: копирование системной оболочки (/bin/sh) в /usr/bin/dbus-authd с установкой владельца root и бита SUID — классический приём получения постоянного root-доступа, переживающего перезагрузки.
• Кража учётных данных: попытки извлечения секретов из встроенной базы управления секретами устройства через проприетарную CLI-утилиту /ns/sbin/bt-secrets, предназначенную для хранения паролей, API-ключей и учётных данных конечных точек. Mandiant фиксирует попытки извлечения, но не утверждает, что каждая из них была успешной.
• Латеральное перемещение: получение административного доступа к приложению Remote Support, разведка через скомпрометированные учётные записи администратора, запуск удалённых сессий к нижестоящим системам из списка Jump Items устройства с полным доступом к файловой системе целевых хостов.
• Туннелирование: использование BARECLAW — кастомного SOCKS5-прокси-туннелера на C, ретранслирующего TCP-соединения. Конфигурация обратного прокси (/ns/config/haproxy.conf) модифицировалась для обеспечения прямого доступа к BARECLAW из интернета.
• Противодействие обнаружению: систематическое удаление системных, веб-серверных и прикладных журналов.

Индикаторы компрометации

Опубликованные файловые индикаторы:

• SAWFLY (веб-оболочка): файл mangoapi.php, SHA-256: dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb
• BARECLAW (SOCKS5-туннелер): файл ingredi_ws, SHA-256: 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462
• Промежуточный путь: /app_84304470%2Ephp (хеш не опубликован)

Масштаб и оценка воздействия

Имеющиеся данные подтверждают активную zero-day эксплуатацию, но не позволяют оценить масштаб кампании: Mandiant описывает результаты расследования конкретного инцидента, а BeyondTrust сообщает о расследовании единичного затронутого экземпляра. Общее число скомпрометированных организаций не установлено.

Тем не менее риск значителен. BeyondTrust Remote Support — продукт для удалённой технической поддержки, широко используемый в корпоративных средах. Компрометация такого устройства даёт атакующему не просто точку входа, а готовый механизм доступа к множеству нижестоящих систем через легитимные функции удалённого управления. Целевые секторы Armory Castle, по данным исходного отчёта, включают юридические услуги, SaaS-провайдеров, аутсорсинговые компании, технологический сектор и государственные организации.

Рекомендации по защите и обнаружению

Ключевая сложность обнаружения этой атаки — систематическое удаление журналов на самом устройстве. Поэтому защитникам следует опираться на внешнюю телеметрию, а не на локальные журналы устройства:

• Немедленно обновить все самостоятельно размещённые инстансы Remote Support до версии с патчем BT26-05-RS. Версии старше 24.3.1 требуют предварительного обновления.
• Провести ретроспективный анализ всех устройств, которые были доступны из интернета на уязвимой версии в период с конца августа 2026 года.
• Приоритизировать внешнюю телеметрию: перенаправленные syslog-записи, журналы WAF и обратного прокси, данные периметровых сенсоров, отчёты о сессиях Remote Support.
• Искать аномалии: нетипичные PHP-файлы в директориях приложения, WebSocket-апгрейды, изменения административных ролей, массовые файловые передачи через сессии Remote Support.
• Проверить IOC: наличие указанных выше хешей, нестандартных SUID-файлов (особенно /usr/bin/dbus-authd), модификаций haproxy.conf.
• Ротировать учётные данные, хранившиеся на устройстве, включая API-ключи и пароли из базы секретов, если компрометация подтверждена или не может быть исключена.

Обновление устройства — необходимый, но недостаточный шаг. Организациям, эксплуатирующим BeyondTrust Remote Support с доступом из интернета, следует исходить из предположения о возможной компрометации и провести полноценное расследование с использованием внешних источников телеметрии, не ограничиваясь установкой патча. Учитывая задокументированную практику Armory Castle переходить к массовой эксплуатации после публичного раскрытия уязвимости, окно для безопасного обновления сужается с каждым днём.