BeyondTrust: ujawniono lukę wykorzystywaną do włamań przez Remote Support

BeyondTrust ujawnił 15 października lukę CVE-2026-102764 w Remote Support, wykorzystywaną przed jej publicznym opisaniem. Producent i Mandiant potwierdzają włamania z końca sierpnia. Poprawka BT26-05 jest dostępna, a samą aktualizację trzeba połączyć ze sprawdzeniem, czy napastnicy nie utrzymali dostępu.

Co ujawniono

Luka dotyczy niewystarczającej weryfikacji pochodzenia komunikatów w wewnętrznych komponentach Remote Support. Pozwala napastnikowi bez uwierzytelnienia wykonywać operacje na plikach urządzenia. Mandiant opisuje, jak po wykorzystaniu podatności atakujący uzyskiwali wyższe uprawnienia i zapewniali sobie trwały dostęp.

Badacze przypisują działania grupie ARMORY CASTLE, wcześniej śledzonej jako UNC5221, podejrzewanej o związki z Chinami. Zaobserwowali narzędzia SAWFLY i BARECLAW oraz usuwanie dzienników utrudniające wykrycie włamania. To ustalenia zespołów prowadzących analizę, a nie deklaracja samych przestępców.

Nową informacją jest skoordynowane ujawnienie podatności i kampanii 15 października. BeyondTrust podaje, że poprawkę udostępniono już 8 października, przed publicznym opisaniem zagrożenia.

Kogo dotyczy ostrzeżenie

Potwierdzona podatność obejmuje Remote Support. Producent zaleca również instalację BT26-05 na samodzielnie utrzymywanych urządzeniach Privileged Remote Access: współdzielą one objęty problemem kod, choć wewnętrzne testy nie wykazały sposobu wykorzystania tej luki w PRA.

BeyondTrust informuje, że instancje usługowe obu produktów zostały poprawione automatycznie. Organizacje utrzymujące urządzenia we własnej infrastrukturze powinny zweryfikować stan instalacji. Sama obecność poprawki nie rozstrzyga, czy wcześniej doszło do naruszenia.

Co zrobić teraz

• Sprawdź wszystkie wdrożenia Remote Support i Privileged Remote Access, także utrzymywane dla klientów.
• Potwierdź instalację BT26-05 zgodnie z instrukcją producenta; w razie braku poprawki w panelu skontaktuj się ze wsparciem BeyondTrust.
• Zabezpiecz dostępne dzienniki i porównaj je ze wskazówkami Mandiant. Sprawdź nieznane pliki, zmiany uprawnień oraz konfiguracji dostępu zdalnego.
• Jeśli znajdziesz oznaki włamania, uruchom procedurę obsługi incydentu i oceń ryzyko ujawnienia haseł oraz kluczy dostępnych przez urządzenie.

Komentarz SecurHUB

System wsparcia zdalnego wymaga szczególnej uwagi, ponieważ pośredniczy w dostępie do innych zasobów organizacji. Obsługa incydentów może pomóc ustalić zakres naruszenia i zaplanować przywrócenie zaufania do środowiska.

Źródła: BeyondTrust, Google Threat Intelligence Group / Mandiant