Gli intrusi hanno installato la web shell SAWFLY e il tunneler BARECLAW sugli appliance Remote Support. Poi hanno ampliato i permessi degli account rubati per raggiungere le reti interne.
Nel portale Remote Support, gli intrusi hanno usato un account amministratore rubato per cambiare i permessi di Jump Item e Team: da No Access ad Administrator. Così hanno potuto aprire sessioni verso tutti i sistemi raggiungibili dall'appliance e prelevare documenti IT dai computer degli utenti.
L'accesso iniziale è passato da una vulnerabilità senza patch. Gli aggressori hanno poi sottratto credenziali custodite nell'appliance e installato strumenti per restare nel sistema e instradare traffico attraverso il dispositivo.
Accesso remoto e furto delle credenziali
Mandiant attribuisce le intrusioni ad ARMORY CASTLE, un gruppo di spionaggio sospettato di legami con la Repubblica Popolare Cinese. La società lo traccia anche come UNC5221. CrowdStrike usa il nome WARP PANDA per lo stesso cluster; BeyondTrust ha dichiarato di condividere l'attribuzione con confidenza da moderata ad alta.
La falla CVE-2026-102764 interessa il componente di messaggistica interna di BeyondTrust Remote Support. Il prodotto non verificava l'origine dei messaggi ricevuti. In determinate condizioni, un aggressore remoto poteva eseguire operazioni sui file dell'appliance senza credenziali né interazione dell'utente. La vulnerabilità ha un punteggio CVSS v4 di 9,3 e riguarda tutte le versioni fino alla 26.2.3.
Secondo Mandiant, un attacco riuscito permette di caricare file arbitrari. Da lì si può arrivare al controllo dell'host e a tutte le credenziali che l'appliance conserva o gestisce. Il rischio non si limita ai sistemi già colpiti: dopo la divulgazione, altri gruppi possono replicare la tecnica e tentare di sfruttare gli appliance vulnerabili.
Gli aggressori hanno inviato richieste POST a `app_84304470%2Ephp`, un file che Mandiant non è riuscita a recuperare. Circa 11 minuti dopo è comparsa SAWFLY, una web shell PHP offuscata e salvata come `mangoapi.php` nella directory Laravel del sito. Senza il parametro POST segreto restituiva un errore 404. Con il parametro corretto decodificava il payload usando uno schema Base32 personalizzato, lo decifrava tramite RC4 e lo eseguiva come codice PHP.
La shell funzionava con l'account di servizio, privo di privilegi. Gli intrusi hanno poi copiato la shell di sistema in `/usr/bin/dbus-authd`, assegnato la proprietà a root e attivato il bit SUID. Chi eseguiva quel binario otteneva i privilegi del proprietario.
Una volta ottenuto l'accesso root, hanno usato `bt-secrets`, lo strumento a riga di comando di BeyondTrust per gestire password e chiavi API. Mandiant riferisce che hanno tentato prima di estrarre il vault dell'account di servizio, poi quello globale dell'appliance. Infine hanno cancellato il file di log dello strumento.
La persistenza si appoggiava anche a `zz-root-persist`, uno script eseguito a ogni avvio. Lo script aggiungeva una regola sudo senza password per l'account di servizio al modello sudoers di BeyondTrust. Da quel modello l'appliance rigenera `/etc/sudoers`. La modifica sopravviveva così ai riavvii e ai ripristini della configurazione.
La finestra dell'attacco e il tunneler
BeyondTrust colloca il primo sfruttamento al 29 agosto, contro un'istanza Remote Support ospitata dall'azienda e un appliance self-hosted. La società ha scoperto l'intrusione nell'istanza hosted il 28 settembre, durante un controllo della flotta SaaS avviato dopo un diverso attacco zero-day contro gli appliance edge di un altro fornitore. Ha contenuto l'istanza 27 minuti dopo.
Circa sette ore dopo il contenimento, il team di sicurezza del prodotto aveva riprodotto in laboratorio il punto d'ingresso. L'analisi delle varianti ha rivelato altri percorsi verso la stessa debolezza. BeyondTrust li ha chiusi prima di rilasciare la patch, l'8 ottobre.
L'azienda ha spiegato che i sensori avevano segnalato in tempo reale l'escalation dei privilegi. La funzione di triage automatizzato della piattaforma di rilevamento di terze parti, però, aveva archiviato gli avvisi come falsi positivi. BeyondTrust non ha identificato il fornitore e sta lavorando per impedire la chiusura automatica degli avvisi ad alta gravità.
La cronologia ricostruita da Google Threat Intelligence Group e Mandiant colloca i primi attacchi il 29 agosto 2026. BeyondTrust ha completato l'installazione degli aggiornamenti su tutte le istanze Remote Support SaaS il 9 ottobre. Il 15 ottobre ha reso pubblici i dettagli della vulnerabilità e la patch BT26-05. Google ha avvertito che la divulgazione può favorire una "potenziale diffusione su larga scala" dello sfruttamento. L'analisi tecnica e le raccomandazioni di sicurezza sono riportate da Google Cloud e Mandiant.
Per spostare il traffico, ARMORY CASTLE ha installato BARECLAW, un tunneler scritto in C che crea un proxy SOCKS5 su WebSocket. Il programma girava da `/tmp/ingredi_ws` sulla porta locale 19800, con autenticazione tramite token e cifratura basata su XOR. La registrazione degli eventi era disattivata. Gli intrusi hanno modificato HAProxy per inoltrare alla porta locale le richieste dirette al percorso `/uidchanarge`. Il tunnel era raggiungibile da internet attraverso il normale accesso all'appliance, mentre il listener restava vincolato a localhost e invisibile alle scansioni esterne.
BeyondTrust afferma che gli operatori usavano uscite VPN commerciali e router domestici o di piccoli uffici compromessi. Cambiavano infrastruttura tra una vittima e l'altra. Mandiant segue ARMORY CASTLE almeno da ottobre 2023 e gli attribuisce precedenti sfruttamenti zero-day in Citrix NetScaler e Ivanti Connect Secure. Il gruppo è già comparso in un precedente caso Ivanti; dopo la divulgazione di CVE-2023-46805 e CVE-2024-21887 nel 2024, è passato da attacchi selettivi allo sfruttamento esteso dei dispositivi non aggiornati. Mandiant invita le organizzazioni a prepararsi a una "potential widespread exploitation" della falla BeyondTrust.
BeyondTrust ritiene inoltre che il gruppo mantenga, in un contesto AI, un modello funzionante dei prodotti bersaglio per costruire catene di exploit. La società cita la profondità delle conoscenze sui prodotti e la velocità osservata, ma precisa di non avere prove forensi a sostegno di questa ipotesi.
Patch e verifiche dopo l'intrusione
Tutte le istanze Remote Support SaaS erano state aggiornate entro il 9 ottobre; i clienti cloud non devono intervenire sull'appliance. Chi gestisce installazioni self-hosted dalla versione 24.3.1 alla 26.2.3 deve applicare la patch BT26-05-RS dall'interfaccia `/appliance` se gli aggiornamenti automatici non sono attivi. Deve poi verificare che l'aggiornamento sia stato installato. Le versioni precedenti alla 24.3.1 vanno prima aggiornate a una release supportata. Per i clienti cloud, BeyondTrust ha indicato che non sono richieste altre operazioni sui singoli appliance.
Privileged Remote Access condivide il codice interessato. BeyondTrust afferma che i propri test non hanno trovato un modo per sfruttare la falla in quel prodotto. Ha comunque pubblicato una patch PRA precauzionale e raccomanda ai clienti self-hosted di installarla subito.
Installare la patch non esclude una compromissione precedente. Mandiant consiglia di considerare potenzialmente compromesso ogni appliance esposto a internet con una versione vulnerabile durante la finestra dell'attacco. Per i dispositivi compromessi o di stato incerto raccomanda la ricostruzione da un'immagine pulita e aggiornata: i clienti non possono controllare il file system dell'host e la persistenza resiste ai ripristini.
Mandiant avverte di cambiare le credenziali solo dopo aver aggiornato o ricostruito l'appliance. Se l'aggressore è ancora presente, potrebbe acquisire i nuovi segreti. La rotazione deve comprendere gli account amministrativi dell'appliance e del portale. Vanno cambiate anche le chiavi API e quelle di firma SAML, oltre alle credenziali del vault e di Password Safe. La verifica deve includere i segreti delle integrazioni e quelli digitati durante le sessioni di supporto nel periodo interessato.
Per cercare intrusioni, Mandiant indica gli eventi syslog `user_changed` che modificano i ruoli Jump Item o Team, gli accessi amministrativi da connessioni residenziali o VPN commerciali e i percorsi `.php` sconosciuti. Suggerisce inoltre di controllare gli aggiornamenti WebSocket inattesi sul reverse proxy. Vanno verificate anche le interruzioni nell'inoltro dei log che iniziano e terminano all'interno di una singola sessione. Mandiant ha pubblicato regole YARA per SAWFLY e BARECLAW. In caso di evidenze di sfruttamento, BeyondTrust chiede di aprire una richiesta di supporto Sev 1 citando "BT26-05".
È la seconda vulnerabilità sfruttata quest'anno negli appliance di accesso remoto BeyondTrust: CVE-2026-1731, un bug di esecuzione di codice da remoto pre-autenticazione corretto a febbraio, era stato usato per distribuire ransomware su sistemi vulnerabili.
