-
16 oktober 2026 om 09:12 | person_outline 36
Chinese hackersgroep exploit kwetsbaarheid in BeyondTrust Remote Support software
Eind augustus 2026 werd een nuldaagse kwetsbaarheid, bekend als CVE-2026-102764, uitgebuit in BeyondTrust Remote Support appliances door een groep met vermeende banden met China, momenteel opererend onder de naam ARMORY CASTLE. Deze kwetsbaarheid stelde niet-geauthenticeerde externe aanvallers in staat bestandshandelingen uit te voeren op getroffen appliances, waaronder ondersteunde Remote Support versies tot en met 26.2.3.
De aanvallers begonnen hun aanval door POST-verzoeken te sturen naar `/app_84304470%2Ephp`, wat binnen elf minuten leidde tot de creatie van een PHP webshell genaamd mangoapi.php in een web-root directory. Na het verkrijgen van initiƫle toegang, introduceerden de aanvallers de SAWFLY webshell en de BARECLAW tunneler. SAWFLY faciliteerde het versturen van commando's naar de appliance.
Vervolgens escaleerden de aanvallers hun privileges van het site service account naar root. Dit deden zij door het bestand `/bin/sh` te kopiƫren naar `/usr/bin/dbus-authd`, de eigenaar aan te passen naar root en de Set User ID (SUID) permissie in te schakelen. Met root-toegang kregen de aanvallers toegang tot de secrets store van de appliance met het bt-secrets utility, waarna ze probeerden inloggegevens van service accounts te bemachtigen om de bredere kluis te bevragen.
Om hun aanwezigheid te bestendigen, maakten de aanvallers gebruik van zowel ingebouwde appliancefuncties als aangepaste tools zoals de BARECLAW SOCKS5 tunneler. Deze tunneler leidde verkeer via WebSockets om zo toegang te behouden en dieper in de netwerken van slachtoffers te komen. Verder creƫerden zij een opstartscript genaamd zz-root-persist, dat de service account toevoegde aan een configuratiesjabloon met wachtwoordloze sudo-rechten. Dit script diende om toegang te waarborgen na een herstart of configuratieherstel.
De aanvallers verhoogden ook de permissies van een gecompromitteerd beheerdersaccount, waardoor hun toegang tot Jump Items en teams veranderde van "Geen toegang" naar "Administrator". Met deze verhoogde privileges konden zij sessies starten naar downstream apparaten, bestandsoverdrachtstools gebruiken, interne documenten verzamelen en extra tools installeren voor voortdurende toegang. Ze implementeerden aanvullende malware, zochten naar opgeslagen inloggegevens, wijzigden toegangspermissies en verkregen zo toegang tot systemen die via de gecompromitteerde appliance werden beheerd.
Bewijs van deze uitbuiting werd aangetroffen in diverse logbestanden van de appliance, hoewel de aanvallers ook probeerden logboekrecords van het utility te verwijderen. BeyondTrust maakte de kwetsbaarheid op 15 oktober 2026 publiekelijk bekend, nadat de uitbuiting had plaatsgevonden en nadat SaaS tenants reeds op 9 oktober 2026 waren gepatcht. Klanten met zelf-gehoste installaties wordt geadviseerd de BT26-05-RS patch toe te passen om de kwetsbaarheid te dichten. Het aanbrengen van de patch sluit de kwetsbaarheid, maar verwijdert geen sporen van een eerdere compromittering.
De aanvallers begonnen hun aanval door POST-verzoeken te sturen naar `/app_84304470%2Ephp`, wat binnen elf minuten leidde tot de creatie van een PHP webshell genaamd mangoapi.php in een web-root directory. Na het verkrijgen van initiƫle toegang, introduceerden de aanvallers de SAWFLY webshell en de BARECLAW tunneler. SAWFLY faciliteerde het versturen van commando's naar de appliance.
Vervolgens escaleerden de aanvallers hun privileges van het site service account naar root. Dit deden zij door het bestand `/bin/sh` te kopiƫren naar `/usr/bin/dbus-authd`, de eigenaar aan te passen naar root en de Set User ID (SUID) permissie in te schakelen. Met root-toegang kregen de aanvallers toegang tot de secrets store van de appliance met het bt-secrets utility, waarna ze probeerden inloggegevens van service accounts te bemachtigen om de bredere kluis te bevragen.
Om hun aanwezigheid te bestendigen, maakten de aanvallers gebruik van zowel ingebouwde appliancefuncties als aangepaste tools zoals de BARECLAW SOCKS5 tunneler. Deze tunneler leidde verkeer via WebSockets om zo toegang te behouden en dieper in de netwerken van slachtoffers te komen. Verder creƫerden zij een opstartscript genaamd zz-root-persist, dat de service account toevoegde aan een configuratiesjabloon met wachtwoordloze sudo-rechten. Dit script diende om toegang te waarborgen na een herstart of configuratieherstel.
De aanvallers verhoogden ook de permissies van een gecompromitteerd beheerdersaccount, waardoor hun toegang tot Jump Items en teams veranderde van "Geen toegang" naar "Administrator". Met deze verhoogde privileges konden zij sessies starten naar downstream apparaten, bestandsoverdrachtstools gebruiken, interne documenten verzamelen en extra tools installeren voor voortdurende toegang. Ze implementeerden aanvullende malware, zochten naar opgeslagen inloggegevens, wijzigden toegangspermissies en verkregen zo toegang tot systemen die via de gecompromitteerde appliance werden beheerd.
Bewijs van deze uitbuiting werd aangetroffen in diverse logbestanden van de appliance, hoewel de aanvallers ook probeerden logboekrecords van het utility te verwijderen. BeyondTrust maakte de kwetsbaarheid op 15 oktober 2026 publiekelijk bekend, nadat de uitbuiting had plaatsgevonden en nadat SaaS tenants reeds op 9 oktober 2026 waren gepatcht. Klanten met zelf-gehoste installaties wordt geadviseerd de BT26-05-RS patch toe te passen om de kwetsbaarheid te dichten. Het aanbrengen van de patch sluit de kwetsbaarheid, maar verwijdert geen sporen van een eerdere compromittering.
Facts
1. Een groep met vermoedelijke banden met China, voorheen bekend als UNC5221 en nu gelinkt aan ARMORY CASTLE, heeft eind augustus 2026 een nuldaagse kwetsbaarheid (CVE-2026-102764) uitgebuit in BeyondTrust Remote Support appliances.
2. De kwetsbaarheid stelde een niet-geauthenticeerde externe aanvaller in staat om bestandshandelingen uit te voeren op een getroffen appliance. Dit trof ondersteunde Remote Support versies tot en met 26.2.3.
3. De aanvallers begonnen met het versturen van POST-verzoeken naar `/app_84304470%2Ephp`, waarna binnen ongeveer 11 minuten een PHP webshell, genaamd mangoapi.php, werd aangemaakt in een web-root directory.
4. Na het verkrijgen van initiƫle toegang, implementeerden de aanvallers de SAWFLY webshell en de BARECLAW tunneler.
5. SAWFLY bood de aanvallers de mogelijkheid om commando's naar de appliance te sturen.
6. De aanvallers escaleerden hun privileges van de site service account naar root door het bestand /bin/sh te kopiƫren naar /usr/bin/dbus-authd, de eigenaar te wijzigen naar root en de Set User ID (SUID) permissie in te schakelen.
7. Met root-toegang konden de aanvallers de secrets store van de appliance inspecteren met het bt-secrets utility van BeyondTrust, en probeerden zij inloggegevens voor service accounts op te halen om vervolgens de bredere kluis te bevragen.
8. De aanvallers gebruikten zowel ingebouwde appliancefuncties als aangepaste tools, waaronder de BARECLAW SOCKS5 tunneler die verkeer via WebSockets leidt, om toegang te behouden en dieper in de netwerken van slachtoffers te komen.
9. Om aanhoudende toegang te garanderen, creƫerden de aanvallers een opstartscript genaamd zz-root-persist dat de service account toevoegde aan een configuratiesjabloon met wachtwoordloze sudo-rechten. Dit script werd gecreƫerd om toegang te behouden na een herstart of configuratieherstel.
10. De aanvallers wijzigden de permissies van een gecompromitteerd beheerdersaccount, waardoor de toegang tot Jump Items en teams werd verhoogd van "Geen toegang" naar "Administrator".
11. Met deze verhoogde permissies konden de aanvallers sessies starten naar downstream apparaten, bestandsoverdrachtstools gebruiken en interne documenten verzamelen. Ze installeerden ook tools voor voortdurende toegang.
12. De aanvallers implementeerden aanvullende malware, zochten naar opgeslagen inloggegevens, wijzigden toegangspermissies en bereikten systemen die via de gecompromitteerde appliance werden beheerd.
13. Bewijs van de uitbuiting werd gevonden in verschillende logbestanden van de appliance, waarbij de aanvallers ook records uit de logbestanden van het utility verwijderden.
14. BeyondTrust maakte de kwetsbaarheid op 15 oktober 2026 publiekelijk bekend. Dit was nadat de uitbuiting plaatsvond en nadat SaaS tenants al op 9 oktober 2026 waren gepatcht.
15. Klanten met zelf-gehoste installaties moeten de BT26-05-RS patch toepassen om de kwetsbaarheid te dichten. Patching sluit de kwetsbaarheid, maar verwijdert geen bewijs van een eerdere compromis.
Popup content goes here.
Nog geen account? Klik hier om te registreren!
Met een account heeft u de mogelijkheid om het gehele nieuwsoverzicht te bekijken en op ieder artikel een reactie-icoon te geven.
Met Newsfacts.info kunt u op de hoogte blijven van de laatste ontwikkelingen, zonder veel tijd te besteden aan het volgen van het nieuws. Ontdek vandaag nog de voordelen van Newsfacts.info!
Login
-
Gebruikersnaam
-
Wachtwoord