De China-gerelateerde spionagegroep die wordt gevolgd als Armory Castle (voorheen UNC5221 of Warp Panda) misbruikte eind augustus 2026 een recent onthulde beveiligingsfout in BeyondTrust Remote Support (voorheen Bomgar) als zero-day.
De kwetsbaarheid, geregistreerd als CVE-2026-102764 (CVSS-score: 9.3), betreft onjuiste origin-validatie in een interne berichtcomponent die door een externe aanvaller kon worden misbruikt om bestandshandelingen uit te voeren op een getroffen appliance.
“De kwetsbaarheid bevindt zich in interne componenten van Remote Support,” zei BeyondTrust in een donderdagwaarschuwing. “De componenten valideerden de oorsprong van de berichten die ze ontvingen niet op de juiste manier. Onder de juiste omstandigheden kan dit worden gebruikt om bestandshandelingen op de appliance uit te voeren.”
Patchupdates voor de fout zijn op 9 oktober 2026 naar alle Remote Support SaaS-klanten uitgerold. Zelf-gehoste klanten van Remote Support die versies van 24.3.1 tot en met 26.2.3 draaien, krijgen het advies handmatig te updaten naar de BT26-05-RS-patch. Klanten met een versie ouder dan 24.3.1 moeten eerst upgraden naar een nieuwer versie om de correctie toe te passen.
Volgens een tijdlijn van gebeurtenissen die BeyondTrust deelde, zou Armory Castle de fout als zero-day hebben uitgebuit op een enkele zelf-gehoste Remote Support-appliance op 29 augustus 2026. Op 27 september 2026 werd “succesvolle exploitatie van een andere leverancier van beveiligingsapparaten [publiek],” voegde het toe, waarna een onderzoek werd gestart om naar vergelijkbare activiteit te zoeken.
Armory Castle heeft een geschiedenis van het misbruiken van zero-day-kwetsbaarheden in Citrix NetScaler (CVE-2023-4966) en Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 en CVE-2025-0282) appliances om een breed scala aan sectoren, waaronder juridische diensten, SaaS-providers, business-process outsourcers, technologiebedrijven en overheden, te compromitteren voor langdurige inlichtingenverzameling. De groep is actief sinds oktober 2023.
“De actor gebruikt een zero-day selectief tegen uitgekozen doelen, en zodra de kwetsbaarheid publiekelijk bekend is, verschuift de actor doorgaans naar brede exploitatie van elk nog ongepatcht exemplaar,” zei BeyondTrust. “Onze werkhypothese is dat deze actor vooraf hoogwaardige softwaredoelen selecteert en een werkend model van de producten die het target in een AI-context bijhoudt, dat continu wordt gebruikt om exploit-ketens te ontwikkelen.”
Het door Google beheerde Mandiant, dat aanvullende details over de exploitatieactiviteit deelde, meldde dat een succesvolle compromittatie gevolgd wordt door de inzet van een lichtgewicht PHP-webshell met de codenaam SAWFLY voor interactieve externe toegang en bidirectionele versleutelde command-and-control (C2)-communicatie.
De operator maakt gebruik van commerciële VPN-exitnodes en gecompromitteerde thuis- en kleine-kantoorrouters om in normaal netwerkverkeer op te gaan, en gebruikt vervolgens de webshell als kanaal om privileges op te voeren, volledige administratieve controle over de appliance te verkrijgen en persistentie te vestigen op een wijze die reboot overleeft.
De inbraak kenmerkt zich door pogingen om inloggegevens te stelen door de opgeslagen geheimen van de appliance uit te lezen en misbruik van administratieve toegang om zich naar downstream-systemen te verplaatsen en laterale beweging mogelijk te maken. Details van de post-exploitatieacties die door de dreigingsactor zijn ondernomen, staan hieronder opgesomd –
- Het verkrijgen van root-niveau controle over de appliance-host door het systeem-shell uitvoerbare bestand (/bin/sh) te kopiëren naar het bestand “/usr/bin/dbus-authd”, de eigenaar daarvan naar root te wijzigen en Set User ID (SUID)-rechten in te schakelen, waardoor het met de privileges van de eigenaar wordt uitgevoerd.
- Pogingen om rechtstreeks inloggegevens te oogsten uit de native secrets-managementdatabase van de appliance door gebruik van de proprietaire “/ns/sbin/bt-secrets” Command Line Interface (CLI)-utility om wachtwoorden, API-sleutels en endpoint-credentials te beheren, op te slaan en op te vragen.
- Het richten op de BeyondTrust-configuratietemplates om wachtwoordloze root-privileges voor het site-serviceaccount te bemachtigen.
- Pivoteren naar de BeyondTrust Remote Support-toepassing om verkenning uit te voeren via gecompromitteerde administrator-credentials en vervolgens externe sessies te starten naar downstream-systemen die zijn opgenomen in de Jump Item-lijst van de appliance.
- Misbruik van de verhoogde administratieve privileges om een remote support-sessie op te zetten naar interne endpoints en volledige bestandsysteemtoegang tot die systemen te verkrijgen met het doel gevoelige interne documenten te downloaden en exfiltreren voor netwerkverkenning.
- Verkeer tunnelen via het BeyondTrust-apparaat met behulp van BARECLAW, een in C geschreven aangepaste SOCKS5-proxytunnel die TCP-verbindingen tussen een externe client en bestemmingen doorgeeft.
- Het aanpassen van het bestand “/ns/config/haproxy.conf” om ervoor te zorgen dat BARECLAW direct vanaf internet toegankelijk is.
- Het belemmeren van detectie-inspanningen door systematisch systeem-, webserver- en applicatieniveaulogs te verwijderen.
“Gedurende de inbraak toonde Armory Castle een diepgaande kennis van de interne werking van BeyondTrust-appliances, zoals blijkt uit hun misbruik van proprietaire CLI-utilities, opstartconfiguratietemplates en lokale reverse-proxy-routering,” zeiden onderzoekers van Google Threat Intelligence Group (GTIG) en Mandiant: Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch en John Wolfram.
“Elke appliance die tijdens het exploitatievenster vanaf het internet bereikbaar was met een kwetsbare versie, moet als mogelijk gecompromitteerd worden beschouwd totdat deze is onderzocht.”
