BeyondTrust-Kunden haben mehr als nur ein Patch-Problem vor sich. Eine mutmaßlich China-nahe Spionagegruppe nutzte laut Mandiant eine kritische Schwachstelle in Remote Support als Zero-Day aus, erlangte anschließend Root-Zugriff, versuchte, gespeicherte Zugangsdaten abzugreifen, und griff auf nachgelagerte Systeme zu.
Google warnte, dass ARMORY CASTLE CVE-2026-102764 Ende August ausnutzte und die Angriffe nun ausweiten könnte, da die Schwachstelle öffentlich bekannt ist. BeyondTrust stuft die Schwachstelle mit 9,3 als kritisch ein und erklärt, dass die Remote-Support-Versionen 26.2.3 und älter betroffen sind. SaaS-Kunden wurden bis zum 9. Oktober gepatcht, während Kunden mit selbst gehosteten Systemen prüfen müssen, ob BT26-05-RS installiert wurde.
China-nahe Hacker machten aus Fernsupport Root-Zugriff
Reuters berichtete, dass Google und Mandiant die Ausnutzung im August ARMORY CASTLE, einer mutmaßlich China-nahen Bedrohungsgruppe, zuordneten. Eine erfolgreiche Ausnutzung verschaffte den Angreifern Zugriff auf Zugangsdaten, ermöglichte das beliebige Hochladen von Dateien und eröffnete ihnen die Möglichkeit, den betroffenen Host zu kontrollieren.
The Hacker News, berichtete unter Berufung auf Mandiant, dass die Angreifer die PHP-Webshell SAWFLY einsetzten und ihre Rechte auf Root-Ebene ausweiteten. Sie versuchten außerdem, Zugangsdaten aus der nativen Geheimnisdatenbank von BeyondTrust abzugreifen, und änderten die Berechtigungen von Remote Support, um auf nachgelagerte Systeme zuzugreifen. Später setzten die Angreifer den Tunneler BARECLAW ein und löschten System-, Webserver- und Anwendungsprotokolle, um die Erkennung zu erschweren.
Für Verteidiger beschränkt sich das Problem nicht auf die Appliance selbst. Remote Support ist dafür ausgelegt, Administratoren Zugriff auf andere Endpunkte zu geben, sodass ein kompromittierter Server zu einem Zugang zu Systemen werden kann, denen die Organisation bereits vertraut.
CVE-2026-102764 betrifft Remote Support 26.2.3 und ältere Versionen
BeyondTrust erklärte, dass es sich bei CVE-2026-102764 um eine Schwachstelle bei der Validierung des Ursprungs in einer internen Messaging-Komponente handelt. Unter den entsprechenden Bedingungen kann ein entfernter Angreifer sie nutzen, um Dateioperationen auf einer betroffenen Appliance auszuführen. Das Unternehmen stuft die Schwachstelle mit einem CVSS-v4.0-Wert von 9,3 als kritisch ein.
Alle Remote-Support-Versionen bis einschließlich 26.2.3 sind betroffen. BeyondTrust erklärte, bis zum 9. Oktober den Patch auf alle SaaS-Kunden-Systeme aufgespielt zu haben. Kunden mit selbst gehosteten Systemen mit den Versionen 24.3.1 bis 26.2.3 sollten BT26-05-RS installieren oder prüfen, ob die automatischen Updates es installiert haben. Kunden mit älteren Versionen müssen vor der Installation des Patches ein Upgrade durchführen.
BeyondTrust empfiehlt außerdem einen vorsorglichen Patch für selbst gehostete Privileged-Remote-Access-Appliances, da sie betroffenen Code gemeinsam nutzen. Das Unternehmen erklärte, Tests hätten keine Möglichkeit identifiziert, die Schwachstelle in diesem Produkt auszunutzen
Das Patchen ist nur der erste Schritt
Google warnte, dass die öffentliche Bekanntgabe zu einer breiteren opportunistischen Ausnutzung führen könnte und ungeschützte BeyondTrust-Appliances dadurch zu einem vorrangigen Ziel würden.
Infosecurity Magazine wies darauf hin, dass Organisationen bei einem mutmaßlichen Angriff zunächst Telemetriedaten sichern sollten, bevor sie Änderungen vornehmen, und Appliances möglicherweise neu aufsetzen müssen, wenn eine Kompromittierung bestätigt ist oder nicht ausgeschlossen werden kann.
Für Sicherheitsteams schließt die Installation von BT26-05-RS zwar die Schwachstelle, macht jedoch bereits erfolgte Aktivitäten nicht rückgängig.
ARMORY CASTLE zeigte, dass Angreifer eine kompromittierte Remote-Support-Appliance nutzen konnten, um privilegierte Zugangsdaten zu erlangen, Persistenz einzurichten und Systeme zu erreichen, die über die Plattform verwaltet werden. Eine Organisation muss daher feststellen, ob die Appliance vor der Installation des Patches ausgenutzt wurde.
Sicherheitsteams sollten drei Maßnahmen priorisieren:
- Patchstatus prüfen: Bestätigen Sie, dass selbst gehostete Remote-Support-Appliances BT26-05-RS erhalten haben. Auf Systemen mit Versionen älter als 24.3.1 muss vor der Installation des Patches ein Upgrade durchgeführt werden.
- Auf Kompromittierung prüfen: Überprüfen Sie Rechteänderungen, fehlende Protokolle, veränderte Proxy- oder Starteinstellungen, verdächtige Administratorberechtigungen sowie Anzeichen für SAWFLY oder BARECLAW. Teams sollten außerdem untersuchen, ob unerwartete Fernsitzungen oder Dateiübertragungen stattgefunden haben.
- Betroffene Systeme eindämmen: Beschränken Sie den Datenverkehr der Appliance, beenden Sie aktive Support-Sitzungen, wechseln Sie offengelegte Zugangsdaten und setzen Sie die Systeme aus einem sauberen, gepatchten Image neu auf, wenn eine Kompromittierung bestätigt ist oder nicht ausgeschlossen werden kann.
Das Risiko kann über die Remote-Support-Appliance selbst hinausgehen. Das Produkt kann privilegierten Zugriff auf andere Endpunkte vermitteln, sodass gestohlene Zugangsdaten oder ein dauerhaft bestehender Administratorzugriff Angreifern auch nach dem Patchen der ursprünglichen Schwachstelle einen Weg in weitere Systeme eröffnen könnten.
Für Organisationen, die während des Ausnutzungszeitraums eine internetseitig erreichbare Appliance mit einer betroffenen Version betrieben haben, ist es sicherer, das Patchen und die Prüfung auf eine Kompromittierung als getrennte Aufgaben zu behandeln. Bestätigen Sie zunächst die Behebung und stellen Sie anschließend fest, ob Angreifer vor der Installation Zugriff erlangt haben und ob auch Zugangsdaten, Sitzungen oder nachgelagerte Systeme bereinigt werden müssen.
Weiterführende Lektüre: China-nahe Spionagekampagnen zielen ebenfalls auf Regierungen in ganz Asien ab. Cisco Talos brachte UAT-11587 mit einer elfmonatigen Operation in Verbindung, bei der die Antino-Backdoor, Cloud-Infrastruktur und Microsoft 365 zur Befehls- und Steuerungskommunikation eingesetzt wurden.