Una vulnerabilidad crítica de día cero en BeyondTrust Remote Support fue explotada a finales de agosto, antes de que la empresa lanzara un parche. El grupo de espionaje ARMORY CASTLE, presuntamente vinculado a China, utilizó este fallo para acceder a los dispositivos, escalar privilegios a root y obtener credenciales almacenadas en el producto.

Una vulnerabilidad crítica de día cero en BeyondTrust Remote Support fue explotada a finales de agosto, semanas antes de que la empresa revelara el fallo y lanzara un parche. El grupo de espionaje ARMORY CASTLE, presuntamente vinculado a China, utilizó esta debilidad para acceder a los dispositivos, escalar privilegios hasta obtener acceso de root y alcanzar credenciales que el producto almacena o gestiona.

Mandiant afirma que el fallo permite que un atacante remoto no autenticado realice operaciones de archivos en un dispositivo afectado, lo que puede conducir al control total del host.

La vulnerabilidad está identificada como CVE-2026-102764. Afecta a las versiones compatibles de BeyondTrust Remote Support hasta la 26.2.3 inclusive. BeyondTrust indica que el problema reside en un componente de mensajería interna que no comprobaba correctamente el origen de los mensajes.

La empresa no ha publicado los detalles técnicos del fallo, citando el riesgo para los clientes que aún no han aplicado el parche. Sin embargo, la investigación de Mandiant describe cómo los atacantes utilizaron el acceso al dispositivo para instalar malware, elevar privilegios y desplazarse hacia las redes de las víctimas.

Explotación de la Vulnerabilidad de Día Cero de BeyondTrust

BeyondTrust informó que el actor explotó el fallo el 29 de agosto contra una instancia alojada de Remote Support y un dispositivo autogestionado. La empresa señala que su búsqueda de amenazas identificó actividad en una instancia alojada el 28 de septiembre, después de que informes sobre un ataque independiente a otro producto de seguridad impulsaran la investigación.

El equipo contuvo el incidente 27 minutos después de la detección. BeyondTrust lanzó un parche el 8 de octubre, y Mandiant afirma que todos los inquilinos de SaaS de Remote Support habían sido parcheados para el 9 de octubre. Si eres un cliente de autogestión, debes revisar tus dispositivos y aplicar la actualización correspondiente.

Mandiant atribuye la actividad a ARMORY CASTLE, un actor de espionaje presuntamente vinculado a China, rastreado anteriormente como UNC5221. CrowdStrike utiliza el nombre WARP PANDA para el mismo grupo de actividad. Mandiant indica que el grupo ha atacado previamente dispositivos perimetrales y productos de acceso remoto, y advierte que los atacantes pueden intentar una explotación más amplia y oportunista una vez que una vulnerabilidad se hace pública.

El incidente sigue un patrón visto en campañas anteriores contra dispositivos perimetrales, donde un fallo ofrece al intruso una vía de entrada a sistemas que se sitúan entre internet y la red interna de una organización. Previamente se ha cubierto la actividad vinculada a UNC5221 relacionada con dispositivos Ivanti Connect Secure, así como una web shell encontrada en dispositivos Ivanti VPN. El caso de BeyondTrust resalta por qué estos dispositivos necesitan el mismo parcheo y monitoreo urgente que los servidores expuestos a internet.

Mandiant descubrió que los atacantes utilizaron la vulnerabilidad para cargar archivos y luego instalaron una web shell de PHP llamada SAWFLY en el dispositivo. Una web shell es un pequeño programa que permite a un intruso enviar comandos a un servidor web comprometido.

Los atacantes la utilizaron para interactuar con el dispositivo y elevar su acceso desde una cuenta de servicio de bajos privilegios hasta root, el nivel más alto de control en el equipo. Mandiant dice que hicieron esto copiando un programa de shell, cambiando su propiedad a root y habilitando un permiso que le permitía ejecutarse con los privilegios del propietario.

Los atacantes también establecieron persistencia para que su acceso sobreviviera a un reinicio o a un restablecimiento de la configuración. Mandiant encontró un script de inicio que cambiaba una plantilla del sistema para conceder a la cuenta de servicio acceso administrativo sin contraseña.

También intentaron recuperar secretos del almacén de credenciales del dispositivo. Debido a que Remote Support puede almacenar o transmitir credenciales privilegiadas a otros sistemas, un dispositivo comprometido podría exponer cuentas más allá del propio equipo.

Mandiant identificó otra herramienta, BARECLAW, que creaba un túnel de red a través del dispositivo. El actor también cambió la configuración del proxy inverso del dispositivo para rutear tráfico web seleccionado hacia el tunelizador. En la aplicación Remote Support, los atacantes utilizaron credenciales de administrador y elevaron los permisos para los "Jump Items" y "Teams" de las cuentas.

Estos controles rigen a qué ordenadores y grupos puede acceder una cuenta. Los cambios permitieron sesiones remotas a sistemas internos, donde el actor utilizó funciones de transferencia de archivos para recopilar documentos e información de inventario de software.

Mandiant afirma que el actor eliminó los registros del sistema, de la web y de la aplicación, junto con los rastros de sus herramientas. Esto puede dejar a los defensores con un registro incompleto en el propio dispositivo. Tus equipos de seguridad deberían revisar los registros enviados a una plataforma de seguridad o registro separada, junto con los registros del firewall, del proxy inverso y del firewall de aplicaciones web.

Revísalos en busca de sesiones de administrador desconocidas, cambios inesperados en cuentas o permisos, transferencias de archivos inusuales, scripts desconocidos y lagunas en el reenvío de registros.

BeyondTrust indica que sus clientes alojados ya han sido parcheados. Las organizaciones autogestionadas deben aplicar la actualización BT26-05-RS. Mandiant aconseja a los clientes que utilicen versiones anteriores a la 24.3.1 que actualicen a una versión compatible antes de aplicar el parche.

BeyondTrust también lanzó un parche preventivo para Privileged Remote Access porque comparte código con Remote Support, aunque la empresa dijo que no había encontrado una forma de explotar la vulnerabilidad en PRA durante las pruebas.

El parcheo cierra el punto de entrada conocido, pero no demuestra que un dispositivo nunca haya sido comprometido. Mandiant recomienda tratar los dispositivos accesibles desde internet que ejecutaron una versión vulnerable como potencialmente afectados hasta que sean revisados.

Si se confirma la intrusión o no puede descartarse, conserva las pruebas, aísla el dispositivo y reconstruyelo desde una imagen limpia y parcheada en lugar de simplemente borrar los archivos sospechosos. Después de asegurar o reconstruir el dispositivo, rota las credenciales que este almacenaba o gestionaba e investiga cualquier sistema accedido a través de él.

El riesgo clave no se limita a la carga inicial de archivos. Los dispositivos de soporte remoto pueden tener acceso confiable a muchos sistemas, convirtiendo el control de un solo equipo en un camino hacia cuentas sensibles, hosts internos y datos empresariales. Un parcheo rápido, el registro fuera del dispositivo y una revisión cuidadosa de las credenciales pueden limitar el daño si los atacantes llegan primero al dispositivo.

Fuentes:
https://cybersecuritynews.com/beyondtrust-0-day-vulnerability-exploited/