Google perspėja: su Kinija siejami hakeriai išnaudojo BeyondTrust spragą, gresia plati atakų banga

„Google“ perspėja organizacijas ruoštis galimam plačiam naujos spragos išnaudojimui JAV kibernetinio saugumo bendrovės „BeyondTrust“ nuotolinės pagalbos įrenginiuose. „Google“ grėsmių žvalgybos grupės (GTIG) ir „Mandiant“ duomenimis, spragą dar rugpjūtį, kol ji nebuvo žinoma, išnaudojo įtariamai su Kinija susijusi šnipinėjimo grupė, vadinama ARMORY CASTLE. Sėkmingai pasinaudoję spraga hakeriai gali gauti prieigą prie prisijungimo duomenų, įkelti failus ir perimti įrenginio kontrolę.

Kinija siejami hakeriai išnaudojo BeyondTrust spragą dar prieš jai tampant žinomai

Spalio 15 d. „BeyondTrust“ paskelbė apie pažeidžiamumą CVE-2026-102764, kuris paveikė „BeyondTrust Remote Support“ (anksčiau – „Bomgar“) įrenginius. Tai įmonių sprendimas, kuriuo IT skyriai saugiai jungiasi prie nuotolinių kompiuterių ir kitų įrenginių bei sprendžia jų problemas. Spraga leidžia neautentifikuotam nuotoliniam užpuolikui atlikti failų operacijas įrenginyje, o tai gali baigtis visiška įrenginio kontrole ir prieiga prie visų jame saugomų ar per jį perduodamų prisijungimo duomenų.

Atlikdama incidento tyrimą, „Mandiant“ rado įrodymų, kad ARMORY CASTLE šią spragą išnaudojo kaip nulinės dienos pažeidžiamumą 2026 m. rugpjūčio pabaigoje. GTIG šią grupę anksčiau sekė pavadinimu UNC5221. „BeyondTrust“ priduria, kad bendrovė „CrowdStrike“ tą pačią grupę vadina WARP PANDA. Pažeidžiamumas paveikė visas palaikomas „Remote Support“ versijas iki 26.2.3.

Data	Įvykis
2026 m. rugpjūčio 29 d.	Grupė išnaudoja nulinės dienos spragą prieš vieną „BeyondTrust“ talpinamą ir vieną kliento įrenginį
2026 m. rugsėjo 28 d.	„BeyondTrust“ kibernetinės gynybos komanda aptinka įsilaužimą ir per 27 minutes jį sulaiko
2026 m. rugsėjo 30 d.	„Mandiant“ pasidalija tyrimo išvadomis iš kliento įrenginio
2026 m. spalio 8 d.	Išleidžiamas BT26-05 pataisymas, debesijos klientai atnaujinami automatiškai
2026 m. spalio 15 d.	Koordinuotai paskelbiamas CVE, saugumo pranešimas ir „Mandiant“ analizė

Google perspėja apie galimą plačią spragos išnaudojimo bangą

„Organizacijos turėtų pasiruošti galimam plačiam išnaudojimui po šio paskelbimo“, – rašoma GTIG ir „Mandiant“ tinklaraštyje. Pasak jų, ARMORY CASTLE ir kiti grėsmių vykdytojai istoriškai, kai pažeidžiamumas tapdavo viešas, imdavosi plataus, oportunistinio jo išnaudojimo. Iki tol grupė nulinės dienos spragas naudoja atrinktiems taikiniams, o po paskelbimo skuba įsiskverbti į organizacijas, kol jos dar neįdiegė pataisymų.

„Google“ primena, kad panašiai nutiko 2024 m., kai buvo paskelbti „Ivanti Connect Secure“ pažeidžiamumai. GTIG labai užtikrintai vertina, kad ARMORY CASTLE ir toliau naudos nulinės dienos spragas tinklo pakraščio įrenginiuose, kad pasiektų savo šnipinėjimo tikslus. Grupė aktyvi bent nuo 2023 m. spalio ir yra taikiusis į daugelį šalių bei sektorių.

Įsilaužėliai per kelias minutes perėmė administratoriaus teises ir trynė žurnalus

„Mandiant“ aprašė, kaip veikė užpuolikai. Išnaudoję spragą, jie įdiegė anksčiau nežinomą PHP žiniatinklio „apvalkalą“ SAWFLY, padidino savo teises iki aukščiausio lygio (root) ir sukūrė mechanizmą, kuris išlieka net perkrovus įrenginį ar atkūrus jo konfigūraciją. Tada jie bandė ištraukti prisijungimo duomenis iš įrenginio slaptažodžių saugyklos, o per programą su administratoriaus teisėmis jungėsi prie kitų organizacijos kompiuterių ir atsisiuntė vidinius dokumentus.

Duomenų srautams tuneliuoti grupė naudojo naują įrankį BARECLAW, o įrenginio žurnalus ir savo pėdsakus nuolat trynė, kad išvengtų aptikimo. „BeyondTrust“ pažymi, kad grupė jungiasi per komercinių VPN paslaugų adresus ir užvaldytus namų bei mažų biurų maršrutizatorius, todėl jos srautas atrodo kaip įprastas namų interneto vartotojų.

Automatinis įspėjimų rūšiavimas įsilaužimą pažymėjo kaip klaidingą aliarmą

„BeyondTrust“ atvirai aprašė ir savo pačios pamoką. Bendrovės jutikliai suveikė realiuoju laiku, kai užpuolikas didino savo teises, tačiau trečiosios šalies aptikimo platformos automatinis įspėjimų rūšiavimo įrankis šiuos įspėjimus uždarė kaip klaidingus. Įsilaužimą galiausiai aptiko grėsmių žvalgyba paremta paieška, kurią bendrovė pradėjo, kai rugsėjo 27 d. tapo žinoma apie kitą nulinės dienos ataką prieš kito gamintojo įrenginius.

Iš šio atvejo bendrovė siūlo dvi pamokas visiems gynėjams: automatinio rūšiavimo sprendimą laikyti tik vienu iš duomenų ir jo uždarytų įspėjimų neišmesti iš paieškų, taip pat vykdyti nuolatinę, grėsmių žvalgyba paremtą paiešką savo ritmu, nelaukiant įspėjimų. „BeyondTrust“ teigia dabar dirbanti su tiekėju, kad automatiniai įrankiai negalėtų savarankiškai uždaryti aukšto pavojingumo signalų.

ARMORY CASTLE taikosi į teisines paslaugas, technologijų bendroves ir valdžios institucijas

Pasak „BeyondTrust“, viešai skelbtuose aprašymuose ši grupė apibūdinama kaip valstybės remiama šnipinėjimo operacija, siekianti ilgalaikio žvalgybinės informacijos rinkimo. Tarp jos taikinių – teisinių paslaugų įmonės, debesijos paslaugų teikėjai, verslo procesų užsakomųjų paslaugų bendrovės, technologijų įmonės ir valdžios institucijos. Mėgstamiausi grupės įėjimo taškai – tinklo pakraščio ir nuotolinės prieigos įrenginiai: anksčiau jai priskirtas „Citrix NetScaler“ ir „Ivanti Connect Secure“ nulinės dienos spragų išnaudojimas.

BeyondTrust ragina nedelsiant įdiegti pataisymą BT26-05

„BeyondTrust“ debesijos klientai jau atnaujinti automatiškai. Savo serveriuose įrenginius laikančioms organizacijoms bendrovė ragina nedelsiant įdiegti pataisymą BT26-05. Nors bendrovės vidinis testavimas nenustatė, kaip spragą būtų galima išnaudoti „Privileged Remote Access“ produkte, jis naudoja tą patį kodą, todėl pataisymas išleistas ir jam. Techninių pažeidžiamumo detalių bendrovė kol kas neskelbia, kad nepadidintų rizikos dar neatnaujintiems klientams.

„Mandiant“ rekomenduoja kiekvieną įrenginį, kuris išnaudojimo laikotarpiu buvo pasiekiamas iš interneto ir veikė su pažeidžiama versija, laikyti galimai pažeistu, kol jis nebus patikrintas. Tarp kitų patarimų – riboti administravimo sąsajų prieigą, žurnalus siųsti į išorines sistemas, kad jų nebūtų galima ištrinti, o įtarus įsilaužimą pakeisti visus įrenginyje saugotus ar per jį perduotus prisijungimo duomenis.

DI spartina spragų paiešką ir išnaudojimą

„BeyondTrust“ teigia, kad, jos darbiniu vertinimu, grupė iš anksto pasirenka vertingus programinės įrangos taikinius ir galbūt naudoja dirbtinio intelekto įrankius išnaudojimo grandinėms kurti, nors tiesioginių įrodymų tam neturi. Bendrovė primena, kad prieš dvi savaites GTIG pranešė, jog 2026 m. išnaudotų pažeidžiamumų skaičius beveik padvigubėjo, o laikas tarp spragos paskelbimo ir jos išnaudojimo vis trumpėja.