Armory Castle nutzt Zero-Day in BeyondTrust Remote Support aus: Analyse von CVE-2026-102764

Die kritische Schwachstelle CVE-2026-102764 (CVSSv4 9.3) in BeyondTrust Remote Support wurde als Zero-Day von der mutmaßlich mit der VR China verbundenen Gruppe Armory Castle (zuvor UNC5221) ausgenutzt. Nach Angaben von Mandiant (GTIG) begann die Ausnutzung am 29. August 2026 auf einem einzelnen selbst gehosteten Gerät. Die Schwachstelle ermöglicht einem entfernten Angreifer Dateisystemoperationen auf dem Gerät, verursacht durch eine unzureichende Validierung der Herkunft von Nachrichten in internen Komponenten. Betroffen sind alle Remote-Support-Versionen bis einschließlich 26.2.3. Der Patch BT26-05-RS für SaaS-Kunden wurde vom Hersteller am 9. Oktober 2026 eingespielt; selbst gehostete Installationen erfordern ein manuelles Update.

Technische Charakteristik der Schwachstelle

Laut dem Sicherheitshinweis von BeyondTrust hängt die Schwachstelle mit einer fehlerhaften Validierung der Herkunft von Nachrichten in einer internen Messaging-Komponente von Remote Support zusammen. Unter bestimmten Bedingungen ermöglicht dies einem entfernten Angreifer die Durchführung von Dateisystemoperationen auf dem Gerät – ein kritischer Angriffsvektor, der den Weg zu einer vollständigen Kompromittierung eröffnet.

Betroffene Versionen und Reihenfolge der Updates:

• SaaS-Kunden – der Patch wurde von BeyondTrust bis zum 9. Oktober 2026 automatisch eingespielt.
• Selbst gehostete Versionen 24.3.1–26.2.3 – der Patch BT26-05-RS muss manuell installiert werden.
• Versionen älter als 24.3.1 – zunächst ist ein Update auf eine unterstützte Version erforderlich, danach die Installation des Patches.

Wichtig: Ein Update allein beseitigt nicht die Folgen einer möglichen Kompromittierung, die vor der Installation des Patches stattgefunden hat. Jedes Gerät, das im Zeitraum der Ausnutzung mit einer verwundbaren Version aus dem Internet erreichbar war, sollte als potenziell kompromittiert betrachtet und untersucht werden – diese Empfehlung formuliert Mandiant ausdrücklich.

Profil des Angreifers und Ablauf des Angriffs

Die Zuordnung des Angriffs zur Gruppe Armory Castle stammt von GTIG/Mandiant und ist eine nachrichtendienstliche Einschätzung, kein unabhängig bestätigter Fakt. Nach Angaben von Mandiant ist Armory Castle ein mutmaßlich mit der VR China verbundener Akteur der Cyber-Spionage, der zuvor als UNC5221 verfolgt wurde. Die Gruppe ist dafür bekannt, Zero-Day-Schwachstellen in Netzwerkgeräten auszunutzen: CVE-2023-4966 in Citrix NetScaler, CVE-2023-46805 und CVE-2024-21887 in Ivanti Connect Secure sowie CVE-2025-0282 – all diese CVEs sind im CISA-KEV-Katalog aufgeführt. Zuvor haben wir bereits die Ausnutzung von Schwachstellen in Citrix NetScaler im Kontext aktiver Angriffe beleuchtet.

Nach der Beschreibung von BeyondTrust agiert der Angreifer nach einem charakteristischen Muster: Er setzt Zero-Day-Exploits selektiv gegen zuvor ausgewählte, besonders wertvolle Ziele ein und geht nach der öffentlichen Offenlegung der Schwachstelle zur massenhaften Ausnutzung ungepatchter Instanzen über. Der Hersteller betont außerdem, dass der Angreifer nach seiner Arbeitseinschätzung Zielprodukte im Vorfeld auswählt und ein funktionsfähiges Modell dieser Produkte vorhält, um Exploit-Ketten zu entwickeln.

Post-Exploitation-Aktivitäten

Mandiant beschreibt eine mehrstufige Post-Exploitation, die ein tiefes Verständnis der internen Architektur von BeyondTrust-Geräten erkennen lässt:

• Initialer Zugang und Persistenz: Bereitstellung der PHP-Web-Shell SAWFLY für interaktiven Remote-Zugriff mit verschlüsseltem, bidirektionalem C2-Kanal. Zur Verschleierung des Traffics wurden kommerzielle VPN-Knoten und kompromittierte Heimrouter eingesetzt.
• Rechteausweitung: Kopieren der System-Shell (/bin/sh) nach /usr/bin/dbus-authd mit Setzen des Besitzers auf root und des SUID-Bits – eine klassische Methode, um dauerhaften Root-Zugriff zu erhalten, der Neustarts übersteht.
• Diebstahl von Zugangsdaten: Versuche, Geheimnisse aus der integrierten Secret-Management-Datenbank des Geräts über das proprietäre CLI-Tool /ns/sbin/bt-secrets zu extrahieren, das für die Speicherung von Passwörtern, API-Schlüsseln und Zugangsdaten von Endpunkten vorgesehen ist. Mandiant hält Extraktionsversuche fest, behauptet aber nicht, dass jeder davon erfolgreich war.
• Laterale Bewegung: Erlangen administrativen Zugriffs auf die Remote-Support-Anwendung, Erkundung über kompromittierte Administrator-Konten, Start von Remote-Sitzungen zu nachgelagerten Systemen aus der Jump-Items-Liste des Geräts mit vollem Zugriff auf das Dateisystem der Zielhosts.
• Tunneling: Einsatz von BARECLAW – einem maßgeschneiderten SOCKS5-Proxy-Tunneler in C, der TCP-Verbindungen weiterleitet. Die Konfiguration des Reverse Proxy (/ns/config/haproxy.conf) wurde modifiziert, um direkten Zugriff auf BARECLAW aus dem Internet zu ermöglichen.
• Umgehung der Erkennung: systematische Löschung von System-, Webserver- und Applikationslogs.

Indikatoren einer Kompromittierung

Veröffentlichte Dateiindikatoren:

• SAWFLY (Web-Shell): Datei mangoapi.php, SHA-256: dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb
• BARECLAW (SOCKS5-Tunneler): Datei ingredi_ws, SHA-256: 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462
• Zwischenpfad: /app_84304470%2Ephp (Hash nicht veröffentlicht)

Umfang und Bewertung der Auswirkungen

Die vorliegenden Daten bestätigen eine aktive Zero-Day-Ausnutzung, erlauben jedoch keine Einschätzung des Umfangs der Kampagne: Mandiant beschreibt die Ergebnisse der Untersuchung eines konkreten Vorfalls, und BeyondTrust berichtet von der Analyse einer einzelnen betroffenen Instanz. Die Gesamtzahl kompromittierter Organisationen ist unbekannt.

Dennoch ist das Risiko erheblich. BeyondTrust Remote Support ist ein Produkt für technischen Remote-Support, das in Unternehmensumgebungen weit verbreitet ist. Die Kompromittierung eines solchen Geräts verschafft dem Angreifer nicht nur einen Einstiegspunkt, sondern einen fertigen Mechanismus für den Zugriff auf zahlreiche nachgelagerte Systeme über legitime Remote-Management-Funktionen. Die von Armory Castle anvisierten Sektoren umfassen laut Ursprungsbericht juristische Dienstleistungen, SaaS-Anbieter, Outsourcing-Unternehmen, den Technologiesektor und staatliche Organisationen.

Empfehlungen zu Schutz und Erkennung

Die zentrale Herausforderung bei der Erkennung dieses Angriffs ist die systematische Löschung von Logs direkt auf dem Gerät. Verteidiger sollten sich daher auf externe Telemetrie stützen und nicht auf lokale Geräte-Logs:

• Sofortige Aktualisierung aller selbst gehosteten Remote-Support-Instanzen auf eine Version mit dem Patch BT26-05-RS. Versionen älter als 24.3.1 erfordern ein vorheriges Update.
• Retrospektive Analyse aller Geräte, die im Zeitraum seit Ende August 2026 mit einer verwundbaren Version aus dem Internet erreichbar waren.
• Externe Telemetrie priorisieren: weitergeleitete Syslog-Einträge, Logs von WAF und Reverse Proxy, Daten von Perimeter-Sensoren, Berichte über Remote-Support-Sitzungen.
• Nach Anomalien suchen: untypische PHP-Dateien in Applikationsverzeichnissen, WebSocket-Upgrades, Änderungen von Administratorrollen, umfangreiche Dateiübertragungen über Remote-Support-Sitzungen.
• IOC prüfen: Vorhandensein der oben genannten Hashes, ungewöhnliche SUID-Dateien (insbesondere /usr/bin/dbus-authd), Modifikationen an haproxy.conf.
• Zugangsdaten rotieren, die auf dem Gerät gespeichert waren, einschließlich API-Schlüsseln und Passwörtern aus der Secrets-Datenbank, falls eine Kompromittierung bestätigt ist oder nicht ausgeschlossen werden kann.

Das Update des Geräts ist ein notwendiger, aber nicht ausreichender Schritt. Organisationen, die BeyondTrust Remote Support mit Internetzugang betreiben, sollten von einer möglichen Kompromittierung ausgehen und eine vollständige Untersuchung anhand externer Telemetriequellen durchführen, ohne sich auf die Installation des Patches zu beschränken. Angesichts der dokumentierten Praxis von Armory Castle, nach der öffentlichen Offenlegung einer Schwachstelle zur massenhaften Ausnutzung überzugehen, wird das Zeitfenster für ein sicheres Update mit jedem Tag enger.