A BeyondTrust alertou os clientes na quinta-feira para que instalem a correção de uma falha crítica no Remote Support (RS), explorada em ataques zero-day desde o fim de agosto.
O Remote Support é a solução corporativa da empresa para que equipes de suporte de TI e atendimento ao cliente diagnostiquem e resolvam problemas remotamente.
Identificada como
CVE-2026-102764
, a vulnerabilidade permite que invasores remotos sem privilégios contornem a autenticação e realizem operações com arquivos em dispositivos não corrigidos. O problema afeta o RS 26.2.3 e versões anteriores. Em 8 de outubro, a BeyondTrust corrigiu a falha para todos os clientes que usam o Remote Support e o Privileged Remote Access como SaaS. No entanto, as instalações hospedadas pelos próprios clientes precisam receber a correção manualmente quando as atualizações automáticas estão desativadas.
A empresa divulgou poucos detalhes sobre a vulnerabilidade, mas informou que o zero-day foi explorado em ataques reais por um provável grupo de espionagem ligado à China. Pesquisadores da Mandiant e do Google Threat Intelligence Group (GTIG) identificam o grupo como “Armory Castle”, anteriormente conhecido como UNC5221. A empresa de cibersegurança CrowdStrike o chama de “Warp Panda”.
Segundo pesquisadores da Mandiant, que identificaram os primeiros ataques, os hackers do Armory Castle exploraram a falha para obter acesso inicial e elevar seus privilégios a root nos dispositivos comprometidos, ativando o bit setuid.
Em seguida, instalaram o web shell Sawfly e o malware de tunelamento Bareclaw. Para evitar a detecção, apagaram registros de atividade e se movimentaram pela rede das vítimas usando credenciais de administrador comprometidas, abrindo sessões remotas em outros sistemas.
“Depois de estabelecer presença por meio do web shell, o grupo passou da conta do serviço web ao controle do dispositivo com privilégios de root. Isso deu acesso a todas as credenciais armazenadas ou intermediadas pelo dispositivo e permitiu alterar arquivos que permanecem mesmo após a reinicialização e a restauração da configuração”, afirmou a Mandiant.
“Qualquer dispositivo que estivesse acessível pela internet e executasse uma versão vulnerável durante o período dos ataques deve ser considerado potencialmente comprometido até passar por uma análise.”
A Shadowserver, organização que monitora ameaças na internet, acompanha mais de 1.400 instâncias do BeyondTrust Remote Support expostas on-line. A organização, porém, não informa quantas já foram protegidas nem quantas são honeypots.
O Armory Castle é conhecido por explorar vulnerabilidades zero-day em dispositivos de borda de rede. Desde pelo menos outubro de 2023, o grupo tem usado falhas em diferentes dispositivos Citrix NetScaler (
CVE-2023-4966
) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 e, posteriormente,
CVE-2025-0282
) para invadir redes corporativas e instalar novos malwares personalizados.
Em janeiro de 2024, a empresa de inteligência de ameaças Volexity também informou que o UNC5221 havia instalado backdoors em mais de 2.100 dispositivos Ivanti usando o web shell GiftedVisitor. Os ataques combinaram as vulnerabilidades zero-day CVE-2023-46805 e CVE-2024-21887.
“Em campanhas anteriores, o ARMORY CASTLE realizou explorações amplas e oportunistas após a divulgação pública de vulnerabilidades que havia usado seletivamente como zero-day. O grupo correu para invadir organizações antes que as correções fossem instaladas”, acrescentou a Mandiant. “É possível que observemos tentativas de exploração igualmente disseminadas relacionadas à
CVE-2026-102764
.”
A
CVE-2026-102764
é a mais recente de uma série de falhas da BeyondTrust exploradas por invasores nos últimos anos. Mais recentemente, atacantes exploraram outra vulnerabilidade crítica de execução remota de código, a
CVE-2026-1731
, que afetava dispositivos do Remote Support e do Privileged Remote Access. Eles estabeleceram canais WebSocket e instalaram ransomware.
Acredita-se também que o grupo de hackers chinês Silk Typhoon, ligado ao governo, tenha explorado duas vulnerabilidades zero-day,
CVE-2024-12356
e
CVE-2024-12686
, para invadir sistemas da BeyondTrust. O grupo usou uma chave de API roubada para comprometer 17 instâncias do Remote Support oferecidas como SaaS, incluindo a do Departamento do Tesouro dos Estados Unidos.
Na mesma campanha, o Silk Typhoon também mirou o Escritório de Controle de Ativos Estrangeiros (OFAC), responsável pela administração dos programas de sanções dos Estados Unidos, e o Comitê de Investimentos Estrangeiros nos Estados Unidos (CFIUS), que avalia riscos à segurança nacional associados a investimentos estrangeiros.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...