Zero-day da BeyondTrust explorado desde agosto por hackers ligados à China

A BeyondTrust corrigiu um zero-day de desvio de autenticação, identificado como CVE-2026-102764, que um grupo de espionagem suspeito de ligações com a China vem explorando no BeyondTrust Remote Support desde o final de agosto de 2026, segundo pesquisa da Mandiant e do Google Threat Intelligence Group publicada esta semana. A falha afeta o BeyondTrust Remote Support (RS) versão 26.2.3 e anteriores; clientes do Privileged Remote Access SaaS foram cobertos automaticamente.

As equipes de inteligência de ameaças da Mandiant e do Google atribuem os ataques a um grupo que chamam de Armory Castle, anteriormente rastreado como UNC5221 e conhecido pela CrowdStrike como Warp Panda. Nas intrusões observadas, os atacantes usaram o desvio de autenticação para acessar dispositivos não corrigidos, depois implantaram um web shell para escalar de uma posição remota sem privilégios para acesso root completo. A partir daí, instalaram duas famílias de malware personalizado, Sawfly e Bareclaw, apagaram logs para cobrir seus rastros, e se moveram lateralmente pelas redes das vítimas usando credenciais de administrador comprometidas.

A gravidade vem do que um dispositivo BeyondTrust Remote Support é projetado para armazenar: o acesso root expõe todas as credenciais que o dispositivo armazena ou intermedia em nome das organizações que o usam para acesso remoto privilegiado. A Mandiant recomenda tratar qualquer dispositivo acessível pela internet que executava uma versão vulnerável durante a janela de exploração de aproximadamente sete semanas como potencialmente comprometido até que tenha sido revisado de forma independente, em vez de assumir que está seguro apenas porque foi corrigido desde então. O serviço de varredura de segurança Shadowserver contou mais de 1.400 instâncias do BeyondTrust Remote Support atualmente expostas à internet.

A BeyondTrust distribuiu a correção para seus clientes SaaS em 8 de outubro de 2026. Organizações que executam instalações auto-hospedadas sem atualizações automáticas habilitadas devem aplicar o patch manualmente, e a lacuna de aproximadamente uma semana entre a correção SaaS e a divulgação pública desta semana deu aos administradores de instâncias auto-hospedadas um aviso prévio limitado antes que os atacantes provavelmente notassem as mesmas notas do patch.

Ferramentas de suporte remoto e acesso privilegiado são um alvo cada vez mais atraente justamente porque são projetadas para serem confiáveis com acesso elevado a muitos outros sistemas — um único desvio bem-sucedido aqui não compromete apenas uma máquina, potencialmente entrega ao atacante as chaves de tudo que aquele dispositivo era responsável por gerenciar, conforme relatado primeiro pela BleepingComputer.