La vulnerabilidad crítica CVE-2026-102764 (CVSSv4 9.3) en BeyondTrust Remote Support se explotó como zero-day por parte del grupo Armory Castle (anteriormente UNC5221), presuntamente vinculado a la RPC. Según Mandiant (GTIG), la explotación comenzó el 29 de agosto de 2026 en un único dispositivo autoalojado. La vulnerabilidad permite a un atacante remoto realizar operaciones con archivos en el dispositivo debido a una validación insuficiente del origen de los mensajes en componentes internos. Se ven afectadas todas las versiones de Remote Support hasta la 26.2.3 inclusive. El parche BT26-05-RS para clientes SaaS fue aplicado por el proveedor el 9 de octubre de 2026; las instalaciones autoalojadas requieren una actualización manual.
Características técnicas de la vulnerabilidad
Según el aviso de seguridad de BeyondTrust, la vulnerabilidad está relacionada con una validación incorrecta del origen de los mensajes en un componente interno de mensajería de Remote Support. Bajo determinadas condiciones, esto permite que un atacante remoto realice operaciones con archivos en el dispositivo, un vector crítico que abre la puerta a una compromisión total.
Versiones afectadas y orden de actualización:
- Clientes SaaS: BeyondTrust aplicó el parche de forma automática antes del 9 de octubre de 2026.
- Versiones autoalojadas 24.3.1–26.2.3: es necesario instalar manualmente el parche BT26-05-RS.
- Versiones anteriores a 24.3.1: primero se requiere una actualización a una versión soportada y después la aplicación del parche.
Es importante tener en cuenta que la actualización por sí sola no elimina las posibles consecuencias de una compromisión que se haya producido antes de aplicar el parche. Cualquier dispositivo que haya sido accesible desde internet con una versión vulnerable durante el periodo de explotación debe considerarse potencialmente comprometido y someterse a revisión: esta es una recomendación que Mandiant formula de forma explícita.
Perfil del atacante y desarrollo del ataque
La atribución del ataque al grupo Armory Castle procede de GTIG/Mandiant y es una valoración de inteligencia, no un hecho confirmado de forma independiente. Según Mandiant, Armory Castle es un actor de ciberespionaje presuntamente vinculado a la RPC, anteriormente monitorizado como UNC5221. El grupo es conocido por explotar vulnerabilidades zero-day en dispositivos de red: CVE-2023-4966 en Citrix NetScaler, CVE-2023-46805 y CVE-2024-21887 en Ivanti Connect Secure, así como CVE-2025-0282; todas estas CVE están incluidas en el catálogo CISA KEV. Anteriormente ya hemos tratado la explotación de vulnerabilidades de Citrix NetScaler en el contexto de ataques activos.
Según la descripción de BeyondTrust, el actor actúa siguiendo un patrón característico: utiliza de forma selectiva zero-day contra objetivos de alto valor seleccionados de antemano y, tras la divulgación pública de la vulnerabilidad, pasa a la explotación masiva de instancias sin parchear. El proveedor también señala que, según su evaluación operativa, el actor elige con antelación los productos de software objetivo y mantiene un modelo funcional de estos productos para desarrollar cadenas de exploits.
Acciones de post-explotación
Mandiant describe una post-explotación en múltiples etapas que demuestra un profundo conocimiento de la arquitectura interna de los dispositivos BeyondTrust:
- Acceso inicial y persistencia: despliegue de la web shell PHP SAWFLY para acceso remoto interactivo con un canal C2 cifrado y bidireccional. Para camuflar el tráfico se utilizaron nodos VPN comerciales y routers domésticos comprometidos.
- Escalada de privilegios: copia de la shell del sistema (
/bin/sh) en/usr/bin/dbus-authdcon asignación de propiedad a root y configuración del bit SUID, un método clásico para obtener acceso root persistente que sobrevive a los reinicios. - Robo de credenciales: intentos de extraer secretos de la base integrada de gestión de secretos del dispositivo mediante la utilidad de CLI propietaria
/ns/sbin/bt-secrets, destinada al almacenamiento de contraseñas, claves API y credenciales de endpoints. Mandiant registra intentos de extracción, pero no afirma que cada uno de ellos haya tenido éxito. - Movimiento lateral: obtención de acceso administrativo a la aplicación Remote Support, reconocimiento a través de cuentas de administrador comprometidas, inicio de sesiones remotas hacia sistemas posteriores a partir de la lista de Jump Items del dispositivo, con acceso completo al sistema de archivos de los hosts objetivo.
- Tunelización: uso de BARECLAW, un túnel proxy SOCKS5 personalizado en C que retransmite conexiones TCP. La configuración del reverse proxy (
/ns/config/haproxy.conf) se modificaba para proporcionar acceso directo a BARECLAW desde internet. - Contramedidas frente a la detección: eliminación sistemática de los registros del sistema, del servidor web y de las aplicaciones.
Indicadores de compromiso
Indicadores de archivo publicados:
- SAWFLY (web shell): archivo
mangoapi.php, SHA-256:dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb - BARECLAW (túnel SOCKS5): archivo
ingredi_ws, SHA-256:1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462 - Ruta intermedia:
/app_84304470%2Ephp(hash no publicado)
Alcance y evaluación del impacto
Los datos disponibles confirman una explotación activa de tipo zero-day, pero no permiten evaluar el alcance de la campaña: Mandiant describe los resultados de la investigación de un incidente concreto, y BeyondTrust informa de la investigación de un único ejemplar afectado. El número total de organizaciones comprometidas no está establecido.
No obstante, el riesgo es significativo. BeyondTrust Remote Support es un producto de soporte técnico remoto ampliamente utilizado en entornos corporativos. La compromisión de un dispositivo de este tipo proporciona al atacante no solo un punto de entrada, sino un mecanismo ya preparado para acceder a numerosos sistemas posteriores mediante funciones legítimas de administración remota. Los sectores objetivo de Armory Castle, según el informe original, incluyen servicios jurídicos, proveedores SaaS, empresas de outsourcing, el sector tecnológico y organismos gubernamentales.
Recomendaciones de protección y detección
La principal dificultad para detectar este ataque es la eliminación sistemática de registros en el propio dispositivo. Por ello, los defensores deben basarse en telemetría externa y no en los registros locales del dispositivo:
- Actualizar de inmediato todas las instancias autoalojadas de Remote Support a una versión con el parche BT26-05-RS. Las versiones anteriores a 24.3.1 requieren una actualización previa.
- Realizar un análisis retrospectivo de todos los dispositivos que hayan sido accesibles desde internet con una versión vulnerable desde finales de agosto de 2026.
- Priorizar la telemetría externa: registros syslog redirigidos, logs del WAF y del reverse proxy, datos de sensores perimetrales e informes de sesiones de Remote Support.
- Buscar anomalías: archivos PHP atípicos en los directorios de la aplicación, actualizaciones WebSocket, cambios en los roles administrativos, transferencias masivas de archivos a través de sesiones de Remote Support.
- Comprobar los IOC: presencia de los hashes mencionados, archivos SUID no estándar (en especial
/usr/bin/dbus-authd), modificaciones enhaproxy.conf. - Rotar las credenciales almacenadas en el dispositivo, incluidas claves API y contraseñas de la base de secretos, si se confirma la compromisión o no puede descartarse.
Actualizar el dispositivo es un paso necesario, pero insuficiente. Las organizaciones que operan BeyondTrust Remote Support con acceso desde internet deben partir de la suposición de una posible compromisión y llevar a cabo una investigación completa utilizando fuentes externas de telemetría, sin limitarse a aplicar el parche. Dada la práctica documentada de Armory Castle de pasar a la explotación masiva tras la divulgación pública de una vulnerabilidad, la ventana para una actualización segura se reduce cada día.
