Китайские кибершпионы использовали неизвестную уязвимость BeyondTrust, получили права root и спрятали канал доступа внутрь обычного веб-трафика. Google восстановила цепочку взлома корпоративной системы удалённой поддержки.
Группировка ARMORY CASTLE, ранее известная как UNC5221, атаковала устройства BeyondTrust Remote Support в конце августа 2026 года. Уязвимость CVE-2026-102764 позволяла удалённо загружать произвольные файлы без авторизации. Ошибка стала публичной только 15 октября.
После проникновения злоумышленники установили PHP-веб-шелл SAWFLY. Вредоносный скрипт принимал команды через HTTP-запросы, расшифровывал их с помощью RC4 и выполнял на сервере. Если запрос не содержал специального параметра, SAWFLY отвечал кодом 404, словно запрошенная страница не существует. Так скрипт скрывался от сканеров.
Сначала веб-шелл работал с ограниченными правами служебной учётной записи. Затем атакующие создали копию системной оболочки с владельцем root и битом SUID, который позволяет запускать файл с правами владельца. Получив полный контроль над устройством, хакеры попытались извлечь пароли и ключи через штатную утилиту bt-secrets и удалили журналы работы.
Для сохранения доступа ARMORY CASTLE изменила настройки запуска устройства. Специальный скрипт при загрузке добавлял служебной учётной записи право выполнять административные команды без пароля. Изменения затрагивали шаблон конфигурации sudo, поэтому злоумышленники рассчитывали сохранить привилегии даже после перезагрузки системы.
Следующим шагом стала сама консоль BeyondTrust. Используя скомпрометированную административную учётную запись, атакующие расширили права на удалённые сеансы и подключились к внутренним компьютерам. Через встроенный механизм передачи файлов хакеры выгружали документы, полезные для разведки сети, включая сведения об установленном программном обеспечении.
Дополнительный скрытый канал обеспечивал инструмент BARECLAW, написанный на C. Туннель передавал SOCKS5-соединения поверх WebSocket, а изменённая конфигурация HAProxy перенаправляла входящие запросы на локальный порт 19800. Снаружи порт не прослушивался, поэтому обычное сетевое сканирование не показывало работающий прокси.
В опубликованном разборе Mandiant связывает атаку с китайской кибершпионской группой ARMORY CASTLE. BeyondTrust подтвердила два взломанных устройства Remote Support 29 августа: одно в собственном облаке и одно у клиента. Разработчик выпустил исправление BT26-05 и предупредил, что установка патча не устраняет уже созданные злоумышленниками точки доступа.
Уязвимы поддерживаемые версии Remote Support вплоть до 26.2.3 включительно. Облачные экземпляры BeyondTrust исправила автоматически, владельцам локальных систем требуется обновление и проверка следов взлома. Исследователи предупреждают о возможных массовых атаках после публикации подробностей, но пока речь идёт о риске, а не о подтверждённой новой волне.