Un presunto grupo de espionaje vinculado a China explotó una vulnerabilidad de día cero (CVE-2026-102764) en los dispositivos de soporte remoto de BeyondTrust. Según el Grupo de Inteligencia de Amenazas de Google (GTIG), el ataque ocurrió a finales de agosto de 2026, permitiendo a los atacantes obtener privilegios de root e instalar herramientas para mantener el acceso persistente antes de que el fallo fuera revelado el 15 de octubre.

Un presunto grupo de espionaje vinculado a China explotó una vulnerabilidad de día cero en los dispositivos de Soporte Remoto de BeyondTrust para obtener acceso, alcanzar privilegios de root e instalar herramientas para mantener el acceso continuo.

El Grupo de Inteligencia de Amenazas de Google (GTIG) afirma que la actividad tuvo lugar a finales de agosto de 2026, antes de que BeyondTrust revelara el fallo el 15 de octubre.

La vulnerabilidad, identificada como CVE-2026-102764, podría permitir que un atacante remoto no autenticado realice operaciones de archivos en un dispositivo afectado.

Mandiant vinculó la actividad con ARMORY CASTLE, un grupo presuntamente relacionado con China previamente rastreado como UNC5221. Los atacantes utilizaron el acceso para desplegar malware, buscar credenciales almacenadas, cambiar permisos de cuenta y acceder a sistemas gestionados a través del dispositivo.

Dado que el Soporte Remoto puede conectarse a endpoints internos, una brecha podría exponer más que el propio dispositivo. Analistas del Grupo de Inteligencia de Amenazas de Google Cloud señalaron que los atacantes desplegaron la webshell SAWFLY y el tunelizador BARECLAW tras explotar el fallo.

Sus hallazgos describen cómo el grupo utilizó las propias funciones del dispositivo de BeyondTrust, junto con herramientas personalizadas, para mantener el acceso y moverse más profundamente en las redes de las víctimas. El caso recuerda a otras campañas contra dispositivos perimetrales, incluyendo hackers chinos que explotan Ivanti VPN.

Chinos explotan el día cero de BeyondTrust

Mandiant encontró evidencia de la explotación en varios archivos de registro del dispositivo. El atacante primero envió solicitudes POST a /app_84304470%2Ephp.

Unos 11 minutos después, el dispositivo registró la creación de una webshell PHP llamada mangoapi.php en un directorio raíz web. Mandiant no pudo recuperar el archivo asociado con las solicitudes POST iniciales, por lo que el nombre del archivo de preparación no debe tratarse como una muestra de malware confirmada.

SAWFLY permitió a los atacantes enviar comandos al dispositivo. Verificaba si las solicitudes POST entrantes contenían un parámetro específico, _c94mfe, y devolvía una respuesta 404 cuando dicho parámetro estaba ausente.

Cuando estaba presente, decodificaba y desencriptaba los datos enviados, ejecutaba código PHP y luego encriptaba y codificaba el resultado antes de devolverlo. Este diseño podría hacer que los escaneos casuales tengan menos probabilidades de revelar la webshell.

Posteriormente, el grupo escaló privilegios desde la cuenta de servicio del sitio hasta root. Mandiant afirma que los atacantes copiaron /bin/sh en /usr/bin/dbus-authd, cambiaron el propietario del archivo a root y habilitaron el permiso Set User ID (SUID).

Un programa SUID se ejecuta con los privilegios de su propietario, por lo que esto les dio a los atacantes una ruta hacia el control a nivel de root. El incidente también recuerda a informes anteriores sobre la explotación de vulnerabilidades de BeyondTrust, aunque aquel informe cubre un fallo y una campaña diferentes.

Persistencia, acceso a credenciales y movimiento lateral

El acceso root permitió a los atacantes inspeccionar el almacén de secretos del dispositivo utilizando la utilidad bt-secrets de BeyondTrust. Mandiant observó intentos de recuperar credenciales para una cuenta de servicio y luego consultar el almacén general.

Los atacantes también eliminaron registros de los archivos de log de la utilidad. Estas acciones son importantes porque los dispositivos de Soporte Remoto pueden almacenar o gestionar credenciales utilizadas para acceder a otros sistemas.

Para mantener el acceso después de un reinicio o un restablecimiento de configuración, el grupo creó un script de inicio llamado zz-root-persist. El script añadió la cuenta de servicio a una plantilla de configuración con derechos de sudo sin contraseña, y luego utilizó una utilidad de BeyondTrust para reconstruir el archivo sudoers activo.

Mandiant también encontró eliminación de registros en ubicaciones del sistema, del servidor web y de la aplicación, lo que podría dificultar una investigación. Los atacantes también cambiaron los permisos de una cuenta de administrador comprometida, elevando el acceso a "Jump Items" y equipos de "Sin Acceso" a "Administrador".

Los Jump Items son sistemas puestos a disposición para el soporte remoto. Con permisos más amplios, el actor podría iniciar sesiones en dispositivos derivados, usar herramientas de transferencia de archivos y recopilar documentos internos como inventarios de software.

Para el acceso a la red, los atacantes ejecutaron BARECLAW, un tunelizador SOCKS5 personalizado que transporta el tráfico a través de WebSockets. En la configuración observada, escuchaba localmente en el puerto TCP 19800, mientras que los cambios en la configuración de HAProxy del dispositivo enrutaban las solicitudes con la ruta /uidchanarge hacia el tunelizador.

Dado que el escuchador estaba vinculado a localhost, la configuración del proxy proporcionaba una ruta indirecta hacia él. El método encaja en un patrón más amplio de grupos de espionaje que utilizan dispositivos perimetrales como puntos de apoyo, como se ha visto en las campañas de malware de día cero de Ivanti.

BeyondTrust indica que el CVE-2026-102764 afecta a las versiones compatibles de Soporte Remoto hasta la 26.2.3. Google Cloud y Mandiant instan a las organizaciones afectadas a aplicar el parche BT26-05.

Los inquilinos de SaaS fueron parcheados el 9 de octubre de 2026; los clientes con alojamiento propio deben aplicar el parche BT26-05-RS, actualizando primero las versiones antiguas a una versión compatible. El parche cierra el fallo, pero no elimina la evidencia de un compromiso previo.

Debes revisar el periodo completo de exposición, preservar los registros del firewall externo y del proxy inverso, y buscar archivos inesperados en la raíz web, binarios SUID, scripts de inicio, cambios en sudoers, acceso al almacén y cambios en los permisos de administrador.

Si se confirma el compromiso o no puede descartarse, Mandiant recomienda reconstruir el sistema desde una imagen limpia y parcheada en lugar de confiar en el reinicio o restablecimiento del dispositivo.

Rota las credenciales solo después de parchear o reconstruir, para que un atacante que aún controle el dispositivo no pueda capturar los nuevos secretos. Para más detalles, consulta el informe de amenazas de Google Cloud y el aviso BT26-05 de BeyondTrust.

Fuentes:
https://cybersecuritynews.com/beyondtrust-zero-day/