Armory Castle експлуатує zero-day у BeyondTrust Remote Support: аналіз CVE-2026-102764

Критична вразливість CVE-2026-102764 (CVSSv4 9.3) у BeyondTrust Remote Support експлуатувалася як zero-day угрупованням Armory Castle (раніше UNC5221), яке, ймовірно, пов’язане з КНР. За даними Mandiant (GTIG), експлуатація почалася 29 серпня 2026 року на окремому самостійно розгорнутому пристрої. Вразливість дає змогу віддаленому зловмиснику виконувати файлові операції на пристрої через недостатню валідацію джерела повідомлень у внутрішніх компонентах. Уразливі всі версії Remote Support до 26.2.3 включно. Патч BT26-05-RS для SaaS-клієнтів було застосовано вендором 9 жовтня 2026 року; самостійно розгорнуті інсталяції потребують ручного оновлення.

Технічна характеристика вразливості

Згідно з бюлетенем BeyondTrust, вразливість пов’язана з некоректною валідацією джерела повідомлень у внутрішньому компоненті обміну повідомленнями Remote Support. За певних умов це дає змогу віддаленому зловмиснику виконувати файлові операції на пристрої — критичний вектор, який відкриває шлях до повної компрометації.

Уражені версії та порядок оновлення:

• SaaS-клієнти — патч застосований BeyondTrust автоматично станом на 9 жовтня 2026 року.
• Самостійно розгорнуті версії 24.3.1–26.2.3 — необхідно вручну встановити патч BT26-05-RS.
• Версії старші за 24.3.1 — спочатку потрібне оновлення до підтримуваної версії, а потім застосування патча.

Важливо враховувати: саме по собі оновлення не усуває наслідки можливої компрометації, що сталася до встановлення патча. Будь-який пристрій, який був доступний з інтернету на уразливій версії в період експлуатації, слід розглядати як потенційно скомпрометований і перевірити його — це рекомендація, яку Mandiant формулює прямо.

Профіль зловмисника та хід атаки

Атрибуція атаки угрупованню Armory Castle походить від GTIG/Mandiant і є розвідувальною оцінкою, а не незалежно підтвердженим фактом. За даними Mandiant, Armory Castle — це ймовірно пов’язаний з КНР актор кібершпіонажу, який раніше відстежувався як UNC5221. Угруповання відоме експлуатацією zero-day вразливостей у мережевих пристроях: CVE-2023-4966 у Citrix NetScaler, CVE-2023-46805 та CVE-2024-21887 в Ivanti Connect Secure, а також CVE-2025-0282 — усі ці CVE внесені до каталогу CISA KEV. Раніше ми вже висвітлювали експлуатацію вразливостей Citrix NetScaler у контексті активних атак.

За описом BeyondTrust, зловмисник діє за характерною схемою: вибірково використовує zero-day проти заздалегідь відібраних цінних цілей, а після публічного розкриття вразливості переходить до масової експлуатації непропатчених екземплярів. Вендор також зазначає, що, за його робочою оцінкою, актор заздалегідь обирає цільові програмні продукти та підтримує робочу модель цих продуктів для розробки ланцюжків експлойтів.

Постексплуатаційні дії

Mandiant описує багатоступеневу постексплуатацію, що демонструє глибоке знання внутрішньої архітектури пристроїв BeyondTrust:

• Початковий доступ і закріплення: розгортання PHP-вебоболонки SAWFLY для інтерактивного віддаленого доступу з шифрованим двонаправленим C2-каналом. Для маскування трафіку використовувалися комерційні VPN-вузли та скомпрометовані домашні маршрутизатори.
• Підвищення привілеїв: копіювання системної оболонки (/bin/sh) у /usr/bin/dbus-authd із встановленням власника root і біта SUID — класичний прийом отримання постійного доступу рівня root, який зберігається після перезавантаження.
• Викрадення облікових даних: спроби витягнути секрети з вбудованої бази керування секретами пристрою через пропрієтарну CLI-утиліту /ns/sbin/bt-secrets, призначену для зберігання паролів, API-ключів та облікових даних кінцевих точок. Mandiant фіксує спроби витягнення, але не стверджує, що кожна з них була успішною.
• Бічний рух: отримання адміністративного доступу до застосунку Remote Support, розвідка через скомпрометовані облікові записи адміністратора, запуск віддалених сесій до нижчестоящих систем із переліку Jump Items пристрою з повним доступом до файлової системи цільових хостів.
• Тунелювання: використання BARECLAW — кастомного SOCKS5-проксі-тунелера на C, що ретранслює TCP-з’єднання. Конфігурацію зворотного проксі (/ns/config/haproxy.conf) модифіковано для забезпечення прямого доступу до BARECLAW з інтернету.
• Протидія виявленню: систематичне видалення системних, вебсерверних та прикладних журналів.

Індикатори компрометації

Опубліковані файлові індикатори:

• SAWFLY (вебоболонка): файл mangoapi.php, SHA-256: dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb
• BARECLAW (SOCKS5-тунелер): файл ingredi_ws, SHA-256: 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462
• Проміжний шлях: /app_84304470%2Ephp (хеш не опубліковано)

Масштаб і оцінка впливу

Наявні дані підтверджують активну zero-day експлуатацію, але не дають змоги оцінити масштаб кампанії: Mandiant описує результати розслідування конкретного інциденту, а BeyondTrust повідомляє про розслідування одиничного ураженого екземпляра. Загальна кількість скомпрометованих організацій не встановлена.

Попри це ризик є значним. BeyondTrust Remote Support — продукт для віддаленої технічної підтримки, який широко використовується в корпоративних середовищах. Компрометація такого пристрою дає зловмиснику не просто точку входу, а готовий механізм доступу до численних нижчестоящих систем через легітимні функції віддаленого керування. Цільові сектори Armory Castle, за даними початкового звіту, охоплюють юридичні послуги, SaaS-провайдерів, аутсорсингові компанії, технологічний сектор і державні організації.

Рекомендації щодо захисту та виявлення

Ключова складність виявлення цієї атаки — систематичне видалення журналів на самому пристрої. Тому захисникам слід спиратися на зовнішню телеметрію, а не на локальні журнали пристрою:

• Негайно оновити усі самостійно розгорнуті екземпляри Remote Support до версії з патчем BT26-05-RS. Версії старші за 24.3.1 потребують попереднього оновлення.
• Провести ретроспективний аналіз усіх пристроїв, які були доступні з інтернету на уразливій версії в період із кінця серпня 2026 року.
• Пріоритизувати зовнішню телеметрію: переадресовані syslog-записи, журнали WAF і зворотного проксі, дані периметрових сенсорів, звіти про сесії Remote Support.
• Шукати аномалії: нетипові PHP-файли в директоріях застосунку, WebSocket-upgrade, зміни адміністративних ролей, масові файлові передавання через сесії Remote Support.
• Перевірити IOC: наявність зазначених вище хешів, нестандартних SUID-файлів (особливо /usr/bin/dbus-authd), модифікацій haproxy.conf.
• Ротуєти облікові дані, що зберігалися на пристрої, включно з API-ключами та паролями з бази секретів, якщо компрометацію підтверджено або її не можна виключити.

Оновлення пристрою — необхідний, але недостатній крок. Організаціям, які експлуатують BeyondTrust Remote Support з доступом з інтернету, слід виходити з припущення про можливу компрометацію та провести повноцінне розслідування із використанням зовнішніх джерел телеметрії, не обмежуючись установленням патча. З огляду на задокументовану практику Armory Castle переходити до масової експлуатації після публічного розкриття вразливості, вікно для безпечного оновлення звужується з кожним днем.