Μια κρίσιμη ευπάθεια μηδενικής ημέρας (zero-day) στο λογισμικό BeyondTrust Remote Support έγινε αντικείμενο εκμετάλλευσης στα τέλη Αυγούστου, εβδομάδες πριν από την επίσημη δημοσιοποίηση και τη διάθεση διορθωτικού λογισμικού. Η ομάδα κυβερνοκατασκοπείας ARMORY CASTLE, η οποία εικάζεται ότι συνδέεται με την Κίνα, αξιοποίησε το κενό ασφαλείας για να αποκτήσει πρόσβαση σε συσκευές, να αναβαθμίσει τα δικαιώματά της σε επίπεδο διαχειριστή (root) και να υποκλέψει ευαίσθητα διαπιστευτήρια.
BeyondTrust Remote Support: Μηχανισμός παραβίασης και κλιμάκωση δικαιωμάτων
Η ευπάθεια, η οποία παρακολουθείται ως CVE-2026-102764, εντοπίζεται σε εσωτερικό στοιχείο ανταλλαγής μηνυμάτων που δεν επαλήθευε σωστά την προέλευση των δεδομένων. Επιτρέποντας σε μη εξουσιοδοτημένους χρήστες την εκτέλεση εντολών εξ αποστάσεως, οι επιτιθέμενοι τοποθέτησαν ένα κακόβουλο λογισμικό PHP web shell με την ονομασία SAWFLY.
Στη συνέχεια, οι εισβολείς τροποποίησαν τα δικαιώματα του συστήματος για να αποκτήσουν πλήρη έλεγχο root, ενώ παράλληλα δημιούργησαν μηχανισμούς μόνιμης πρόσβασης που επιβιώνουν ακόμη και μετά από επανεκκίνηση. Παράλληλα, χρησιμοποίησαν το εργαλείο BARECLAW για τη δημιουργία δικτυακών διοδεύσεων (tunnels), αποκτώντας τη δυνατότητα να κινούνται ανεμπόδιστα προς τα εσωτερικά δίκτυα των θυμάτων.
Μέτρα αντιμετώπισης και συστάσεις ασφαλείας
Η BeyondTrust εντόπισε την ύποπτη δραστηριότητα και προχώρησε στη διάθεση διορθωτικού λογισμικού, ενώ οι SaaS υποδομές της έχουν ήδη ενημερωθεί. Ωστόσο, οι οργανισμοί που χρησιμοποιούν τοπικές εγκαταστάσεις (self-hosted) καλούνται να εφαρμόσουν άμεσα την ενημέρωση BT26-05-RS.
Οι ειδικοί ασφαλείας της Mandiant συνιστούν στους διαχειριστές συστημάτων να μην περιοριστούν μόνο στην εφαρμογή της ενημέρωσης, αλλά να εξετάσουν εξωτερικά αρχεία καταγραφής για ύποπτη δραστηριότητα, να ανακληθούν τα αποθηκευμένα διαπιστευτήρια και, σε περίπτωση επιβεβαιωμένης παραβίασης, να προχωρήσουν σε πλήρη επανεγκατάσταση των επηρεαζόμενων συσκευών.
