BeyondTrust alertó sobre una vulnerabilidad crítica (CVE-2026-102764) en su solución Remote Support, la cual ha sido explotada por el grupo de espionaje chino "Armory Castle". Este fallo permite a atacantes remotos saltarse la autenticación, obtener privilegios de root y desplegar malware para moverse lateralmente en las redes. Aunque los clientes SaaS fueron parcheados automáticamente el 8 de octubre, las instalaciones autogestionadas deben actualizarse manualmente de inmediato.





BeyondTrust advirtió a sus clientes el jueves que parcheen un fallo crítico en su Remote Support (RS) que ha sido explotado en ataques de día cero desde finales de agosto.

Remote Support es la solución de soporte de grado empresarial de la compañía que ayuda a los centros de servicios de TI, mesas de ayuda y equipos de soporte al cliente a solucionar problemas de forma remota.

Identificada como CVE-2026-102764, esta vulnerabilidad de omisión de autenticación (bypass) activamente explotada permite que atacantes remotos sin privilegios realicen operaciones de archivos en dispositivos no parcheados y afecta a RS 26.2.3 o versiones anteriores. BeyondTrust parcheó el problema de seguridad para todos los clientes de SaaS de Remote Support y Privileged Remote Access el 8 de octubre, pero las instalaciones autohospedadas deben parchearse manualmente si las actualizaciones automáticas no están habilitadas.

Aunque la empresa compartió detalles limitados sobre la vulnerabilidad, afirmó que el día cero fue abusado en entornos reales por un presunto actor de espionaje vinculado a China, rastreado por investigadores de seguridad de Mandiant y el Google Threat Intelligence Group (GTIG) como "Armory Castle" y por la firma de ciberseguridad CrowdStrike como "Warp Panda".

Según los investigadores de Mandiant, que detectaron los ataques iniciales, los hackers de Armory Castle explotaron el fallo para obtener acceso inicial y escalar a privilegios de root en los dispositivos comprometidos habilitando los permisos Set User ID (SUID).

A continuación, desplegaron el nuevo shell web Sawfly y el malware de tunelización Bareclaw, borraron los registros para evadir la detección y se movieron lateralmente a través de la red de la víctima utilizando credenciales de Administrador comprometidas al abrir sesiones remotas en sistemas downstream.

"Después de establecer un punto de apoyo a través del shell web, el actor elevó desde la cuenta de servicio web hasta el control de nivel root del host del dispositivo. Esto les dio acceso a cada credencial que el dispositivo almacenaba o gestionaba y la capacidad de modificar archivos que sobreviven al reinicio y al restablecimiento de la configuración", afirmó Mandiant (enlace).

"Cualquier dispositivo que haya sido accesible desde Internet en una versión vulnerable durante la ventana de explotación debe ser tratado como potencialmente comprometido hasta que haya sido revisado".

El observatorio de amenazas de Internet Shadowserver rastrea más de 1,400 instancias de soporte remoto de BeyondTrust (enlace) expuestas en línea, pero no proporciona información sobre cuántas ya han sido aseguradas o son honeypots.

Attack chain (mandiant / gtig)

Armory Castle es conocido por atacar vulnerabilidades de día cero en dispositivos de borde de red, incluyendo varios Citrix NetScaler (CVE-2023-4966) y dispositivos Ivanti Connect Secure (CVE-2023-46805 y CVE-2024-21887), luego CVE-2025-0282, desde al menos octubre de 2023 para infiltrarse en redes empresariales y desplegar nuevo malware personalizado.

La empresa de inteligencia de amenazas Volexity también señaló en enero de 2024 que UNC5221 había instalado puertas traseras en más de 2,100 dispositivos Ivanti utilizando el webshell GiftedVisitor en ataques que encadenaban los días cero CVE-2023-46805 y CVE-2024-21887.

"En campañas pasadas, ARMORY CASTLE ha llevado a cabo una explotación generalizada y oportunista tras la divulgación pública de vulnerabilidades que había explotado selectivamente como días cero, compitiendo para infiltrarse en las organizaciones objetivo antes de que se desplieguen los parches", añadió Mandiant. "Es posible que observemos intentos de explotación generalizada similares asociados con CVE-2026-102764".

CVE-2026-102764 es la más reciente de una serie de otros fallos de BeyondTrust que los actores de amenazas han explotado en entornos reales en años recientes. Más recientemente, los atacantes explotaron otra vulnerabilidad crítica de ejecución remota de código (CVE-2026-1731) que afectaba a los dispositivos de Remote Support y Privileged Remote Access para establecer canales WebSocket y desplegar ransomware.

Se cree que el grupo de hacking Silk Typhoon, respaldado por el estado chino (enlace), también ha explotado dos días cero (CVE-2024-12356 y CVE-2024-12686) para infiltrarse en los sistemas de BeyondTrust y utilizar una clave API robada para comprometer 17 instancias de Remote Support SaaS, incluida la instancia del Departamento del Tesoro de los EE. UU.

En la misma campaña, Silk Typhoon también ha tenido como objetivo la Oficina de Control de Activos Extranjeros (OFAC), que administra los programas de sanciones de EE. UU., y el Comité de Inversiones Extranjeras en los Estados Unidos (CFIUS), que revisa las inversiones extranjeras por riesgos de seguridad nacional.

BeyondTrust proporciona servicios de seguridad de identidad a más de 20,000 clientes en todo el mundo, incluyendo agencias gubernamentales y el 75% de las empresas Fortune 100.

Fuente:
BleepingComputer