Armory Castle wykorzystuje lukę BeyondTrust

Krytyczna luka w BeyondTrust wykorzystana w atakach

Podejrzewana o powiązania z Chinami grupa szpiegowska Armory Castle wykorzystała nowo ujawnioną, krytyczną lukę w produkcie BeyondTrust Remote Support. Ataki rozpoczęły się jeszcze w sierpniu 2026 roku, zanim producent publicznie opisał problem.

Wadę oznaczono jako CVE-2026-102764 i oceniono na 9,3 w skali CVSS. BeyondTrust udostępnił poprawkę 8 października, a publicznie ujawnił szczegóły podatności 15 października. Aktualizacja została automatycznie wdrożona w wersjach chmurowych, a klienci korzystający z instalacji lokalnych musieli zainstalować ją samodzielnie.

Jak działał atak

Po wykorzystaniu luki napastnicy nie poprzestawali na jednorazowym dostępie. Ich celem było przede wszystkim:

podniesienie uprawnień do poziomu root,
utrzymanie trwałego dostępu do systemu,
poruszanie się po sieci ofiary,
ukrywanie aktywności i śladów włamania.

Badacze opisali, że grupa używała m.in. ukrytego webshella Sawfly, który umożliwiał szyfrowaną komunikację z serwerem sterującym. Atakujący kopiowali powłokę systemową do pliku /usr/bin/dbus-authd, zmieniali jego właściciela na root i nadawali mu uprawnienia SUID, co pozwalało uruchamiać polecenia z najwyższymi uprawnieniami.

Napastnicy próbowali też wykraść dane uwierzytelniające z natywnej bazy sekretów urządzenia, wykorzystując narzędzie administracyjne /ns/sbin/bt-secrets. Dodatkowo modyfikowali szablony konfiguracji, aby konto usługi otrzymało uprawnienia root bez konieczności podawania hasła.

Dlaczego to groźne dla organizacji

Przejęcie urządzenia BeyondTrust oznaczało dla atakujących dostęp do poświadczeń przechowywanych lub pośredniczonych przez appliance, a także możliwość zarządzania sesjami zdalnymi do systemów docelowych. W praktyce dawało im to bardzo szerokie możliwości poruszania się wewnątrz środowiska ofiary.

Grupa korzystała również z funkcji transferu plików, by pobierać i wyprowadzać wrażliwe dokumenty pomocne w rozpoznaniu sieci, na przykład spisy oprogramowania. Do ukrywania ruchu wykorzystywano narzędzie tunelujące Bareclaw, a następnie systematycznie usuwano logi systemowe, webowe i aplikacyjne.

Kogo ścigali wcześniej

Armory Castle jest aktywna od października 2023 roku i działa w interesie szpiegowskim powiązanym z Chińską Republiką Ludową. Jej wcześniejsze cele obejmowały m.in.:

firmy świadczące usługi prawne,
dostawców SaaS,
firmy outsourcingowe,
spółki technologiczne,
instytucje rządowe.

Grupa ma też historię wykorzystywania zero-dayów w urządzeniach brzegowych, czyli takich, które stoją na granicy między siecią wewnętrzną a internetem. To właśnie ten typ sprzętu bywa szczególnie atrakcyjny dla atakujących, bo często nie ma na nim pełnoprawnych narzędzi EDR, a więc trudniej wykryć włamanie.

Co powinni zrobić administratorzy

Organizacjom, które mogą być narażone na taki scenariusz, zalecono przede wszystkim szybkie wdrożenie poprawki i sprawdzenie, czy nie doszło do infekcji jeszcze przed ujawnieniem luki. Wśród rekomendacji znalazły się także:

zablokowanie ruchu przychodzącego do publicznego adresu urządzenia na zaporze sieciowej,
ograniczenie ruchu wychodzącego wyłącznie do punktów aktualizacji i licencjonowania BeyondTrust,
zakończenie aktywnych sesji wsparcia i wyłączenie nowych sesji,
wyłączenie lub odtworzenie z czystego obrazu urządzeń o potwierdzonym lub nieznanym statusie kompromitacji,
ograniczenie dostępu do paneli administracyjnych /login i /appliance do wybranych adresów lub segmentów sieci,
rotacja haseł i kluczy w odpowiedniej kolejności,
włączenie MFA dla wbudowanego konta administratora.

Badacze podkreślili również, by przed działaniami naprawczymi zachować telemetrię i inne dane śledcze, bo mogą być potrzebne do ustalenia skali incydentu.

Szybka reakcja jest kluczowa

To kolejny przykład, jak szybko zagrożone stają się systemy wystawione na internet, gdy pojawia się nowy zero-day. W tym przypadku ataki rozpoczęły się jeszcze przed publicznym ujawnieniem podatności, a grupa od dawna pokazuje, że potrafi wykorzystywać takie błędy do długotrwałej, skrytej penetracji sieci.