Zero-day в BeyondTrust с оценкой CVSS 9,3 использовали для взлома серверов удалённой поддержки ещё 29 августа 2026 года. Атакующие получили путь к файлам на appliance, крали учётные данные и запускали скомпрометированные сессии во внутреннюю сеть — неприятный сценарий для любой компании, где Remote Support видит рабочие станции администраторов и сотрудников.
За атакой стоит связанная с Китаем шпионская группа Armory Castle, ранее известная как UNC5221 и Warp Panda, сообщает The Hacker News. Целью стал один самостоятельно развёрнутый экземпляр BeyondTrust Remote Support — продукта, который до ребрендинга назывался Bomgar. Уязвимость получила идентификатор CVE-2026-102764: внутренние компоненты системы недостаточно проверяли источник служебных сообщений. При подходящих условиях удалённый атакующий мог выполнять файловые операции на устройстве.
Для SaaS-клиентов BeyondTrust исправление уже развернули: патч применён 9 октября. Владельцам локальных инсталляций версий от 24.3.1 до 26.2.3 нужно вручную установить обновление BT26-05-RS. Если версия старше 24.3.1, сперва придётся обновить сам продукт до поддерживаемой ветки. В этом месте особенно легко совершить классическую корпоративную ошибку: считать, что выпуск патча автоматически означает закрытие инцидента. Для систем, доступных из интернета в период атаки, одного обновления недостаточно.
По данным BeyondTrust, расследование началось после того, как 27 сентября стала публичной информация об успешной эксплуатации продукта другого поставщика средств безопасности. Компания стала искать похожие признаки у себя и обнаружила активность Armory Castle. Группа работает как минимум с октября 2023 года и уже использовала уязвимости нулевого дня в Citrix NetScaler и Ivanti Connect Secure. Её привычная схема выглядит рационально и опасно: сначала точечно применять неизвестную брешь против выбранных целей, а после публикации информации о ней расширять охват на все ещё не обновлённые системы.
После проникновения операторы устанавливали компактный PHP web shell под названием SAWFLY. Он обеспечивал удалённый доступ и зашифрованный канал управления. Для маскировки трафика использовались коммерческие VPN-выходы, а также скомпрометированные домашние и малые офисные роутеры. Дальше начиналась не демонстрация эксплойта, а полноценная работа по закреплению: злоумышленники получали административные права на appliance, настраивали сохранение доступа после перезагрузки и пытались извлечь сохранённые секреты.
Технические детали показывают, что операторы хорошо знают внутреннее устройство BeyondTrust. Они копировали системную оболочку /bin/sh в файл /usr/bin/dbus-authd, меняли владельца на root и включали бит SUID, чтобы запускать файл с правами его владельца. Для выгрузки паролей, API-ключей и учётных данных конечных точек использовалась штатная утилита /ns/sbin/bt-secrets. Атакующие также изучали шаблоны конфигурации, стремясь получить беспарольный root-доступ к сервисной учётной записи, а затем заходили в само приложение с похищенными правами администратора.
Особенно рискованной была следующая ступень. Через Jump Item list — перечень доступных для поддержки систем — злоумышленники запускали удалённые сессии к внутренним endpoint’ам. Это превращает скомпрометированную платформу поддержки в удобную точку для разведки, скачивания внутренних документов и дальнейшего бокового перемещения. Для проксирования TCP-соединений применялся собственный SOCKS5-туннель BARECLAW на C; чтобы сделать его доступным извне, атакующие меняли конфигурацию /ns/config/haproxy.conf. Параллельно они удаляли системные, веб-серверные и прикладные журналы, уменьшая шанс на быструю реакцию SOC.
Для российских команд вывод практический: Remote Support нельзя считать просто вспомогательным сервисом для helpdesk. Если он подключён к внешней сети и имеет доступ к привилегированным учётным данным либо перечню внутренних хостов, это инфраструктурный узел уровня VPN-шлюза. После установки патча стоит проверить необычные привилегированные сессии, изменения в конфигурации HAProxy, появление подозрительных файлов и следы работы с секретами. CISA уже добавило CVE-2026-102764 в каталог известных эксплуатируемых уязвимостей и потребовало от федеральных гражданских ведомств США исправить её до 19 октября.
Главный вопрос теперь не в том, кто успеет применить BT26-05-RS, а в том, насколько давно организация контролирует собственные сервисы удалённого доступа. Zero-day в BeyondTrust стал очередным напоминанием: инструменты, созданные для быстрого входа администратора в чужую систему, одинаково хорошо работают и для атакующего, если тот однажды получил ключи.