Grupul chinez Armory Castle exploatează o vulnerabilitate zero-day în BeyondTrust

Cum a fost armată vulnerabilitatea?

Un grup de hackeri sprijinit de stat din China, cunoscut sub numele de Armory Castle, a exploatat de la august 2024 o vulnerabilitate critică din software-ul BeyondTrust Remote Support. Falla, identificată ca CVE-2026-102764 și cu un scor CVSS de 9,3, permite atacătorilor să evadeze autentificarea și să execute operații arbitrare de fișiere pe sistemele afectate.

Armory Castle a folosit această zero-day pentru a obține acces inițial în rețelele țintă, pentru a implementa malware personalizat și pentru a șterge dovezi forenzice prin ștergerea jurnalelor de sistem.

Validarea defectuoasă a originii mesajelor în aplicația BeyondTrust Remote Support a permis atacatorilor să trimită cereri special concepute care să îmiimite comunicările interne legitime. Astfel, Armory Castle a putut naviga în sistemele de fișiere, să instaleze uși de spate și să mențină persistența fără să declanșeze alertele de securitate obișnuite.

Cercetătorii de securitate au observat că grupul a folosit unelte ușoare, construite pe măsură, concepute pentru a evita detectarea de platformele de protecție a endpoint-urilor. Campania s-a concentrat pe sectoarele guvernamental și tehnologic din Europa și Asia, în linie cu prioritățile de spionaj cunoscute ale grupului.

Ce aparări au fost evitāt de atac?

Prin exploatarea acestei zero-day, Armory Castle a circumvenit apărarea în straturi, inclusiv segmentarea rețelei și instrumentele de gestionare a accesului privilegiat, frecvent utilizate în mediile de enterprise. Ștergerea jurnalelor după executare a complicat eforturile de Experții au subliniat că gravitatea ridicată a vulnerabilității provine din posibilitatea de a fi exploatată de la distanță, fără interacțiunea utilizatorului, ceea ce a crescut semnificativ suprafața de atac.

BeyondTrust a eliberat patch-uri în septembrie 2024, dar sistemele nepatched rămân vulnerabile.

Cum au exploatat atacatorii CVE-2026-102764? Au trimis mesaje malformate care păreau să provenească din surse de încredere în cadrul sistemului BeyondTrust, permițând acces neautorizat la fișiere și executarea de comenzi.

De ce a fost ștergerea jurnalelor o tactică semnificativă? Eliminarea jurnalelor a obstructat analiza forenzică, a întârziat detectarea și a crescut timpul de stăpânire al atacatorilor în rețelele compromise.

Cine sunt țintele principale ale acestei campanii? Agențiile de stat și firmele tehnologică din Europa și Asia au fost principalele ținte, conform obiectivelor istorice de spionaj ale lui Armory Castle.