Hackers ligados à China exploram falha crítica no BeyondTrust para invadir servidores

Um grupo de ciberespionagem associado à China, identificado como Armory Castle e anteriormente conhecido como UNC5221 ou Warp Panda, explorou uma vulnerabilidade zero-day no BeyondTrust Remote Support, antigo Bomgar, para comprometer servidores de suporte remoto. A atividade foi identificada em agosto de 2026, antes da divulgação pública da falha.

A vulnerabilidade, rastreada como CVE-2026-102764, recebeu pontuação 9,3 no sistema CVSS e está relacionada à validação inadequada da origem de mensagens em componentes internos da plataforma. Em determinadas condições, invasores remotos podem explorar o problema para executar operações sobre arquivos do equipamento afetado.

Segundo a BeyondTrust, os componentes vulneráveis não verificavam adequadamente a procedência das mensagens recebidas, permitindo que solicitações maliciosas fossem processadas pelo sistema.

A empresa informou que a correção foi distribuída a todos os clientes da versão SaaS do Remote Support até 9 de outubro de 2026. Já organizações que utilizam instalações próprias, nas versões 24.3.1 até 26.2.3, precisam aplicar manualmente o patch BT26-05-RS.

Clientes com versões anteriores à 24.3.1 devem atualizar a plataforma para uma versão mais recente antes de instalar a correção.

Grupo explorou vulnerabilidade antes da divulgação pública

De acordo com a cronologia apresentada pela BeyondTrust, o Armory Castle explorou a CVE-2026-102764 em 29 de agosto de 2026, comprometendo um equipamento Remote Support hospedado pelo próprio cliente.

Em 27 de setembro, a divulgação de uma exploração bem-sucedida envolvendo outro fornecedor de dispositivos de segurança levou a BeyondTrust a iniciar uma investigação para identificar possíveis atividades semelhantes em seus produtos.

O Armory Castle está ativo desde pelo menos outubro de 2023 e possui histórico de exploração de vulnerabilidades zero-day em equipamentos utilizados para acesso remoto e segurança de redes.

Entre as falhas anteriormente exploradas pelo grupo estão a CVE-2023-4966, no Citrix NetScaler, e as CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282, relacionadas ao Ivanti Connect Secure.

As campanhas atribuídas ao grupo atingiram organizações dos setores jurídico, tecnológico, governamental, provedores SaaS e empresas de terceirização de processos de negócios, com foco na coleta prolongada de informações.

Segundo a BeyondTrust, os invasores costumam utilizar vulnerabilidades desconhecidas contra alvos selecionados e ampliar as tentativas de exploração após a divulgação pública das falhas, buscando equipamentos que permanecem sem atualização.

A empresa também avalia que o grupo seleciona antecipadamente softwares de alto valor e mantém informações técnicas sobre esses produtos em um contexto de inteligência artificial, utilizado continuamente para desenvolver cadeias de exploração. Essa avaliação ainda é apresentada como uma hipótese de trabalho.

Malware SAWFLY permite acesso remoto e persistência

A Mandiant, empresa de segurança pertencente ao Google, identificou que a exploração bem-sucedida da vulnerabilidade é seguida pela instalação de um web shell PHP denominado SAWFLY.

O malware permite acesso remoto interativo e comunicação bidirecional criptografada com a infraestrutura de comando e controle (C2) dos invasores.

Para dificultar a identificação da atividade, os operadores utilizam conexões provenientes de serviços comerciais de VPN e roteadores domésticos ou de pequenos escritórios previamente comprometidos. Essa estratégia ajuda a misturar o tráfego malicioso às conexões legítimas.

Após estabelecer o acesso inicial, o grupo utiliza o SAWFLY para elevar privilégios, assumir o controle administrativo do equipamento e implementar mecanismos de persistência capazes de sobreviver à reinicialização do sistema.

A investigação também identificou tentativas de acessar credenciais armazenadas no próprio BeyondTrust Remote Support e utilizar os privilégios administrativos para alcançar outros sistemas conectados à plataforma.

Invasores buscam acesso root e credenciais armazenadas

A análise conduzida pelo Google Threat Intelligence Group (GTIG) e pela Mandiant descreve diferentes técnicas utilizadas após o comprometimento inicial.

Uma delas envolve a cópia do executável /bin/sh para o caminho /usr/bin/dbus-authd, seguida da alteração de propriedade para root e da ativação da permissão Set User ID (SUID). Esse mecanismo permite executar o arquivo com os privilégios de seu proprietário, facilitando a obtenção de controle privilegiado sobre o sistema.

Os invasores também tentaram extrair informações do banco de dados de segredos da plataforma por meio do utilitário proprietário /ns/sbin/bt-secrets, utilizado para gerenciar senhas, chaves de API e credenciais de endpoints.

Outra técnica identificada foi a manipulação de modelos de configuração do BeyondTrust para obter privilégios root sem necessidade de senha na conta de serviço utilizada pela aplicação.

Com credenciais administrativas comprometidas, o grupo acessou o Remote Support para realizar reconhecimento e iniciar sessões remotas em sistemas registrados na lista de Jump Items, recurso utilizado para organizar dispositivos e destinos acessíveis pela plataforma.

Os privilégios obtidos também permitiram estabelecer sessões de suporte remoto em endpoints internos, acessar seus sistemas de arquivos e buscar documentos confidenciais para reconhecimento da rede e possível exfiltração.

BARECLAW permite movimentação lateral pela rede

Além do SAWFLY, os pesquisadores identificaram a utilização do BARECLAW, uma ferramenta personalizada desenvolvida em linguagem C que funciona como um proxy SOCKS5.

O malware permite encaminhar conexões TCP entre clientes remotos e destinos internos, utilizando o equipamento BeyondTrust comprometido como intermediário.

Para disponibilizar esse canal diretamente pela internet, os invasores modificaram o arquivo de configuração /ns/config/haproxy.conf, responsável por parâmetros do proxy reverso utilizado no ambiente.

Essa técnica possibilita que o equipamento de suporte remoto seja utilizado como ponto de acesso a outros recursos da infraestrutura corporativa.

A investigação também identificou a exclusão sistemática de registros do sistema operacional, do servidor web e da aplicação, com o objetivo de dificultar a detecção e a reconstrução das atividades realizadas.

Segundo os pesquisadores da Mandiant e do GTIG, a operação demonstra conhecimento aprofundado dos componentes internos do BeyondTrust, incluindo ferramentas proprietárias de linha de comando, modelos de inicialização e mecanismos de roteamento do proxy reverso.

BeyondTrust recomenda investigar equipamentos expostos à internet

A BeyondTrust orienta que organizações com instalações próprias do Remote Support atualizem imediatamente os equipamentos afetados pela CVE-2026-102764.

Entretanto, a aplicação da correção não elimina necessariamente os efeitos de um comprometimento ocorrido anteriormente, especialmente diante dos mecanismos de persistência identificados.

Os pesquisadores recomendam que qualquer equipamento vulnerável que tenha permanecido acessível pela internet durante o período de exploração seja considerado potencialmente comprometido até a conclusão de uma investigação.

A análise deve considerar possíveis alterações em arquivos de configuração, mecanismos de persistência, acessos administrativos indevidos, exposição de credenciais e sessões remotas iniciadas a partir do equipamento.

O comprometimento de uma plataforma de suporte remoto representa um risco adicional porque esses sistemas normalmente possuem permissões para acessar diferentes servidores e endpoints corporativos. Dessa forma, uma invasão inicialmente limitada ao equipamento pode permitir movimentação lateral e acesso a informações de outros ambientes.