Китайская APT полтора месяца эксплуатировала zero-day в BeyondTrust Remote Support (CVE-2026-102764)

15 октября BeyondTrust раскрыла критическую уязвимость CVE-2026-102764 (CVSS 9.3) в Remote Support: без входа она позволяет выполнять файловые операции на устройстве. С 29 августа её как zero-day использовала китайская шпионская группа Armory Castle. Патч BT26-05-RS уже вышел — самостоятельно развёрнутые установки нужно обновить вручную.

Remote Support — это инструмент, через который служба поддержки подключается к рабочим станциям и серверам компании. Захват такого узла даёт атакующему готовый канал во всю инфраструктуру, поэтому решения для удалённого доступа стоит включать в периметр регулярного тестирования на проникновение и общей программы информационной безопасности, а не считать их «просто софтом для саппорта».

Группа Armory Castle известна и под именами UNC5221 и Warp Panda — она раньше атаковала Citrix NetScaler и Ivanti Connect Secure. Свежий пример того, как подобные группы бьют по шлюзам удалённого доступа, — три zero-day в Ivanti Connect Secure, разобранные на этой неделе.

Что за уязвимость CVE-2026-102764

По данным бюллетеня BeyondTrust BT26-05, ошибка сидит во внутреннем компоненте обмена сообщениями Remote Support: он некорректно проверяет происхождение сообщений (CWE-290, обход аутентификации через подмену). Неаутентифицированный удалённый атакующий может отправить поддельное сообщение и выполнить файловые операции на устройстве — на практике это означает возможность подбросить веб-шелл.

• Продукт: BeyondTrust Remote Support (RS), облачный и self-hosted варианты.
• Затронутые версии: все до 26.2.3 включительно.
• Оценка: CVSS 9.3, критическая.
• Исправление: патч BT26-05-RS для версий с 24.3.1 по 26.2.3; более старые установки сначала обновляют до поддерживаемой версии.
• Статус: 16 октября CISA добавило CVE-2026-102764 в каталог эксплуатируемых уязвимостей KEV.

Как развивалась атака: хронология

Вендор и SecurityWeek приводят такую последовательность событий:

1. 29 августа 2026 — начало эксплуатации: по данным BeyondTrust, пострадали один экземпляр в облаке вендора и одно self-hosted устройство клиента.
2. 28 сентября — команда BeyondTrust обнаружила активность в ходе проактивного поиска угроз и в тот же день воспроизвела уязвимость.
3. 30 сентября — исправление подготовлено.
4. 8 октября — патч отгружен клиентам; 9 октября — им закрыты все SaaS-инсталляции Remote Support.
5. 15 октября — координированное публичное раскрытие; 16 октября — запись в CISA KEV.

Иными словами, окно, в котором уязвимость работала как настоящий zero-day, составило около месяца до обнаружения и около шести недель до выхода патча.

Что делали атакующие после взлома

Mandiant и Google Threat Intelligence Group, которые разбирали инциденты, описывают типичную для этой группы цепочку: первичный доступ через уязвимость, установка веб-шелла, повышение привилегий до root через выставление SUID-битов, сбор учётных данных, удаление системных логов, перемещение по сети под скомпрометированными учётками администраторов и вывод документов.

В ходе атак развёртывались два инструмента: Sawfly — PHP-веб-шелл с шифрованным каналом управления, и Bareclaw — собственный SOCKS5-туннель с шифрованием и цепочками прокси. Зачистка логов означает, что отсутствие следов в журналах устройства само по себе не доказывает, что его не взламывали.

Что делать администраторам Remote Support прямо сейчас

1. Проверьте версию и патч. В интерфейсе /appliance убедитесь, что BT26-05-RS установлен; если автообновление не включено — поставьте его вручную.
2. Ищите следы компрометации с 29 августа. Нетипичные PHP-файлы, файлы с неожиданными SUID-битами, исходящие туннельные соединения, пробелы в журналах — повод считать устройство скомпрометированным.
3. При подозрении — пересобирайте, а не чистите. Root-доступ и стёртые логи делают «лечение на месте» ненадёжным: разверните устройство заново и восстановите конфигурацию из проверенной копии.
4. Ротируйте учётные данные. Сменить стоит пароли администраторов Remote Support, сохранённые в нём учётки и ключи интеграций — атакующие использовали украденные админские данные для перемещения по сети.
5. Уберите консоль из прямого доступа. Административный интерфейс не должен быть открыт в интернет; ограничьте его VPN, allowlist-ами IP и MFA.

Почему это важно не только клиентам BeyondTrust

Armory Castle последовательно выбирает одну и ту же цель — периферийные устройства с привилегированным доступом: VPN-шлюзы, балансировщики, системы удалённой поддержки. На них редко стоят EDR-агенты, а логи легко стереть. Если в компании есть любой такой узел — от NetScaler до самописного шлюза поддержки, — сценарий «патч вышел через шесть недель после начала атак» применим и к нему. Практический вывод: инвентаризировать такие системы, мониторить их сетевую активность извне и проверять на компрометацию после каждого крупного раскрытия, а не только ставить обновления.

Часто задаваемые вопросы

Затронуты ли облачные клиенты BeyondTrust? Уязвимость затрагивала и SaaS-вариант, но вендор закрыл все облачные инсталляции Remote Support к 9 октября. Действий по установке патча от них не требуется; поиск следов компрометации за период с конца августа всё равно полезен.

Нужна ли авторизация для эксплуатации? Нет, CVE-2026-102764 эксплуатируется удалённо без входа в систему.

Достаточно ли поставить патч? Если устройство было доступно из интернета в период с 29 августа, одного патча мало: нужно проверить его на признаки взлома, а при их наличии — пересобрать и сменить учётные данные.

Источники

• BeyondTrust — Security Advisory BT26-05 (первоисточник).
• BeyondTrust — ARMORY CASTLE and BT26-05: What Security Teams Need to Know, 15 октября 2026.
• CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog, 16 октября 2026.
• SecurityWeek — Chinese APT Exploited BeyondTrust Vulnerability as Zero-Day, октябрь 2026.