1. Op 29 augustus 2026 misbruikte een actor, die later werd geïdentificeerd als de tot China gelieerde spionagegroep ARMORY CASTLE (ook bekend als UNC5221 of WARP PANDA), een kwetsbaarheid in BeyondTrust Remote Support. De aanvallen vonden plaats op één gehoste Remote Support-instantie en één zelf-gehoste appliance.
2. De kwetsbaarheid, die bekend staat als CVE-2026-102764, bevindt zich in een intern berichtcomponent dat de herkomst van berichten niet correct valideerde. Deze fout stelt een niet-geauthenticeerde externe aanvaller in staat om bestandsbewerkingen uit te voeren op een getroffen appliance.
3. De aanvallers maakten gebruik van deze kwetsbaarheid om bestanden te uploaden en de PHP-webshell SAWFLY op de appliance te installeren. Een webshell is een programma waarmee een aanvaller commando's kan versturen naar een gecompromitteerde webserver.
4. Vervolgens gebruikten de aanvallers de webshell om te interageren met het apparaat. Ze verhoogden hun toegang van een serviceaccount met lage privileges naar root. Dit deden ze door een shellprogramma te kopiëren, de eigenaar te wijzigen naar root en permissies toe te kennen voor uitvoering met de privileges van de rootgebruiker.
5. Om persistentie te creëren, zodat hun toegang een herstart of configuratiereset kon overleven, pasten de aanvallers een opstartscript aan dat een systeemsjabloon wijzigde om de serviceaccount wachtwoordloze administratieve toegang te verlenen.
6. De actor probeerde vervolgens geheimen op te halen uit de credential store van de appliance. Een gecompromitteerde appliance kan toegang bieden tot accounts buiten de appliance zelf, aangezien Remote Support bevoorrechte credentials kan bevatten of doorgeven.
7. Mandiant identificeerde een tool genaamd BARECLAW, die werd gebruikt om een netwerktunnel via het apparaat te creëren. De actor wijzigde de reverse-proxy configuratie van de appliance om geselecteerd webverkeer naar deze tunneler te leiden.
8. De aanvallers gebruikten beheerdersreferenties binnen de Remote Support-applicatie en verhoogden de permissies voor Jump Items en Teams van accounts. Dit maakte externe sessies naar interne systemen mogelijk.
9. Binnen de interne netwerken gebruikte de actor bestands-overdrachtsfuncties om documenten en software-inventarisinformatie te verzamelen.
10. De actor heeft systeem-, web- en applicatielogboeken, evenals sporen van zijn tools, verwijderd om zijn activiteiten te verbergen.
11. Op 8 oktober 2026 bracht BeyondTrust een patch uit voor de kwetsbaarheid. Op 9 oktober 2026 waren alle Remote Support SaaS-tenanten reeds gepatcht.
12. De kwetsbaarheid treft ondersteunde versies van BeyondTrust Remote Support tot en met versie 26.2.3. Zelf-gehoste klanten wordt geadviseerd de BT26-05-RS update toe te passen. BeyondTrust heeft bevestigd dat gehoste klanten zijn gepatcht.
13. Mandiant adviseert klanten die versies ouder dan 24.3.1 draaien om te upgraden naar een ondersteunde versie alvorens de patch toe te passen.
14. BeyondTrust heeft ook een preventieve patch uitgebracht voor Privileged Remote Access, aangezien dit product code deelt met Remote Support. Er is geen exploitatiemethode voor de kwetsbaarheid in PRA gevonden tijdens testen.
15. Een patch sluit het bekende toegangspunt, maar bewijst niet dat een appliance nooit gecompromitteerd is geweest.
16. Internet-bereikbare appliances die een kwetsbare versie draaiden, moeten als potentieel getroffen worden beschouwd totdat ze zijn beoordeeld.
17. Bij bevestigde compromittering of wanneer deze niet kan worden uitgesloten, wordt aangeraden bewijsmateriaal te bewaren, de appliance te isoleren en deze opnieuw op te bouwen vanaf een schone, gepatchte installatie in plaats van alleen verdachte bestanden te verwijderen.
18. Na het beveiligen of herbouwen van de appliance, moeten de opgeslagen of verwerkte credentials worden geroteerd.
19. Eventuele systemen die via de appliance zijn benaderd, dienen te worden onderzocht. Kwetsbare externe toegangsappliances kunnen een doorgang bieden naar gevoelige accounts, interne hosts en bedrijfsgegevens.
20. Het wordt aanbevolen om logs die naar een apart logboek- of beveiligingsplatform zijn verzonden te controleren, samen met firewall-, reverse-proxy- en webapplicatiefirewall-records. Mogelijke indicatoren zijn onbekende beheerderssessies, ongebruikelijke account- of permissiewijzigingen, vreemde bestandsoverdrachten, onbekende scripts en hiaten in logboekdoorgifte.
21. Snel patchen, off-device logging en zorgvuldige controle van credentials kunnen de schade beperken.