Grupo chinês explora zero-day crítico em soluções BeyondTrust

O grupo de ciberespionagem Armory Castle, associado à China, explorou uma vulnerabilidade zero-day nas soluções BeyondTrust Remote Support para comprometer sistemas empresariais, obter credenciais e aceder a equipamentos internos. A atividade foi identificada pela Mandiant e pelo Google Threat Intelligence Group (GTIG), que atribuem os ataques a um grupo também conhecido como UNC5221 e Warp Panda.

A falha, identificada como CVE-2026-102764, apresenta uma classificação de gravidade CVSS de 9,3 e resulta de uma validação inadequada da origem das mensagens. Segundo a BeyondTrust, a vulnerabilidade pode permitir que um atacante execute operações sobre ficheiros nos equipamentos Remote Support, criando condições para comprometer os sistemas e expandir o acesso à infraestrutura das organizações.

A exploração começou a 29 de agosto de 2026, tendo sido identificados ataques contra uma instância Remote Support alojada pela BeyondTrust e outra instalada na infraestrutura de um cliente. A fabricante identificou a vulnerabilidade a 28 de setembro, depois de a sua exploração contra um fornecedor de equipamentos de segurança se ter tornado pública no dia anterior.

De acordo com a investigação da Mandiant e do GTIG, o grupo de espionagem utilizou a vulnerabilidade para obter acesso inicial a um equipamento BeyondTrust Remote Support. Depois de comprometer o sistema, o grupo instalou ferramentas próprias para manter o acesso, executar comandos e movimentar-se dentro da infraestrutura da vítima.

Entre as ferramentas identificadas encontra-se a Sawfly, uma webshell desenvolvida em PHP que permite estabelecer comunicações bidirecionais encriptadas com a infraestrutura de comando e controlo dos atacantes. Esta ferramenta foi utilizada como principal mecanismo de persistência no ambiente comprometido.

Após a instalação da Sawfly, os atacantes conseguiram obter privilégios de root no equipamento, recolher credenciais e alcançar acesso privilegiado sem necessidade de palavra-passe à conta de serviço utilizada pelo sistema. O grupo eliminou ainda sistematicamente registos do sistema operativo, do servidor web e das aplicações, numa tentativa de dificultar a investigação da intrusão.

Os investigadores observaram também a utilização da ferramenta Bareclaw, um túnel proxy SOCKS5 desenvolvido pelo grupo, com funcionalidades de encriptação de tráfego, autenticação e encaminhamento através de outros servidores proxy. A ferramenta permitiu estabelecer canais adicionais de comunicação com os sistemas comprometidos.

Funcionalidades legítimas de suporte usadas para aceder a documentos

A investigação revela que os atacantes não se limitaram a comprometer o equipamento BeyondTrust. Depois de obterem credenciais administrativas, utilizaram a própria aplicação Remote Support para alterar permissões e expandir o acesso a outros sistemas da organização.

O grupo recorreu às funcionalidades legítimas de suporte remoto para solicitar e obter acesso ao sistema de ficheiros de equipamentos internos. Através do serviço de transferência de ficheiros da BeyondTrust, os atacantes descarregaram documentos considerados úteis para o reconhecimento da rede, incluindo inventários de software armazenados nos computadores dos utilizadores.

Esta utilização das capacidades nativas da plataforma permitiu aos atacantes realizar operações que, em circunstâncias normais, fazem parte das funções de administração e suporte técnico. A atividade demonstra os riscos associados ao comprometimento de ferramentas que possuem privilégios elevados e acesso a múltiplos sistemas empresariais.

Segundo a Mandiant e o GTIG, o cibergrupo tem como principal objetivo a recolha prolongada de informações e já foi associado a ataques contra fornecedores de Software-as-a-Service, empresas tecnológicas, entidades governamentais, organizações de serviços jurídicos e prestadores de serviços empresariais.

O grupo está ativo, pelo menos, desde outubro de 2023 e foi anteriormente associado à exploração de vulnerabilidades zero-day em equipamentos Citrix NetScaler, Ivanti Connect Secure e Dell RecoverPoint for Virtual Machines.

Correção disponível para versões afetadas

A BeyondTrust confirma que todas as versões do Remote Support até à 26.2.3, inclusive, são afetadas pela CVE-2026-102764. A correção foi disponibilizada através do patch BT26-05-RS, aplicável às versões 24.3.1 a 26.2.3. Os clientes que utilizam versões anteriores à 24.3.1 devem primeiro atualizar o software para uma versão suportada e, posteriormente, aplicar a correção de segurança.

A fabricante indica que desenvolveu uma primeira correção até 30 de setembro, mas prolongou os testes para resolver vias adicionais de exploração antes de disponibilizar o patch a 8 de outubro. Segundo a empresa, a atualização já tinha sido aplicada a todos os clientes da modalidade Remote Support SaaS até 9 de outubro.

No caso das instalações geridas pelos próprios clientes, a BeyondTrust recomenda a aplicação manual da correção quando as atualizações automáticas não estão ativadas.

Tendo em conta a exploração ativa da vulnerabilidade desde agosto, a atualização deve ser acompanhada de uma análise a possíveis sinais de comprometimento. A investigação deverá considerar alterações inesperadas de permissões, utilização anómala das funcionalidades de suporte remoto, acessos privilegiados e eventuais indícios de eliminação de registos.

A exploração confirmada da CVE-2026-102764 demonstra que os equipamentos de acesso e administração remota continuam a constituir alvos relevantes para operações de ciberespionagem. O comprometimento destas plataformas pode permitir aos atacantes ultrapassar o acesso inicial e utilizar funcionalidades legítimas para alcançar outros sistemas e informações sensíveis.