آسیب‌پذیری روز صفر BeyondTrust از اوت توسط هکرهای مرتبط با چین مورد سوءاستفاده قرار گرفت

BeyondTrust یک آسیب‌پذیری روز صفر دور زدن احراز هویت را، که با شناسه CVE-2026-102764 ردیابی می‌شود، پچ کرده است؛ آسیب‌پذیری‌ای که یک گروه جاسوسی مشکوک به ارتباط با چین از اواخر اوت ۲۰۲۶ در BeyondTrust Remote Support مورد سوءاستفاده قرار داده، بر اساس تحقیقات Mandiant و گروه اطلاعات تهدید گوگل که این هفته منتشر شد. این نقص نسخه ۲۶.۲.۳ و قدیمی‌تر BeyondTrust Remote Support (RS) را تحت تأثیر قرار می‌دهد؛ مشتریان Privileged Remote Access SaaS به‌طور خودکار پوشش داده شدند.

تیم اطلاعات تهدید Mandiant و گوگل این حملات را به گروهی که آن را Armory Castle می‌نامند نسبت می‌دهند، گروهی که قبلاً با نام UNC5221 ردیابی می‌شد و CrowdStrike آن را Warp Panda می‌نامد. در نفوذهای مشاهده‌شده، مهاجمان از دور زدن احراز هویت برای دسترسی به دستگاه‌های پچ‌نشده استفاده کردند، سپس یک web shell را برای ارتقا از یک موقعیت دوردست بدون امتیاز به دسترسی کامل root مستقر کردند. از آنجا آن‌ها دو خانواده بدافزار سفارشی، Sawfly و Bareclaw، را نصب کردند، لاگ‌ها را برای پوشاندن ردپای خود پاک کردند، و با استفاده از اعتبارنامه‌های مدیر به‌خطرافتاده در شبکه‌های قربانی به‌صورت جانبی حرکت کردند.

شدت این موضوع از چیزی ناشی می‌شود که یک دستگاه BeyondTrust Remote Support برای نگه‌داری آن طراحی شده: دسترسی root هر اعتبارنامه‌ای را که دستگاه ذخیره یا از طرف سازمان‌هایی که از آن برای دسترسی دوردست ممتاز استفاده می‌کنند واسطه‌گری می‌کند، در معرض دید قرار می‌دهد. Mandiant توصیه می‌کند که هر دستگاه در معرض اینترنت که نسخه آسیب‌پذیری را طی پنجره سوءاستفاده تقریباً هفت‌هفته‌ای اجرا می‌کرده، به‌عنوان بالقوه به‌خطرافتاده در نظر گرفته شود تا زمانی که به‌طور مستقل بررسی شود، به‌جای فرض ایمن‌بودن صرفاً به این دلیل که از آن زمان پچ شده. سرویس اسکن امنیتی Shadowserver بیش از ۱,۴۰۰ نمونه BeyondTrust Remote Support را شمارش کرد که در حال حاضر در معرض اینترنت هستند.

BeyondTrust این راه‌حل را در ۸ اکتبر ۲۰۲۶ برای مشتریان SaaS خود ارسال کرد. سازمان‌هایی که نصب‌های میزبانی‌شده خود را بدون به‌روزرسانی‌های خودکار فعال اجرا می‌کنند باید پچ را به‌صورت دستی اعمال کنند، و فاصله حدود یک‌هفته‌ای بین راه‌حل SaaS و افشای عمومی این هفته به مدیران نمونه‌های میزبانی‌شده خود هشدار پیشینی محدودی داد پیش از آن‌که مهاجمان احتمالاً همان یادداشت‌های پچ را متوجه شوند.

ابزارهای پشتیبانی دوردست و دسترسی ممتاز به‌طور فزاینده‌ای هدفی جذاب هستند دقیقاً به این دلیل که برای اعتماد با دسترسی ارتقا‌یافته در بسیاری از سیستم‌های دیگر ساخته شده‌اند — یک دور زدن موفق در اینجا تنها یک دستگاه را به خطر نمی‌اندازد، بلکه به‌طور بالقوه کلیدهای هر چیزی که آن دستگاه قرار بود مدیریت کند را به مهاجم می‌دهد، آن‌طور که BleepingComputer اولین بار گزارش داد.