ОтветыОпубликовано20 источники
Как Armory Castle использовала уязвимость BeyondTrust Remote Support
Armory Castle использовала CVE 2026 102764 — уязвимость BeyondTrust Remote Support с оценкой CVSS 9,3, затрагивающую версии до 26.2.3 включительно. BeyondTrust выпустила исправление 8 октября и раскрыла информацию об уязвимости 15 октября 2026 года.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- Armory Castle использовала CVE 2026 102764 — уязвимость BeyondTrust Remote Support с оценкой CVSS 9,3, затрагивающую версии до 26.2.3 включительно.
- BeyondTrust выпустила исправление 8 октября и раскрыла информацию об уязвимости 15 октября 2026 года.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Группа Armory Castle, которую связывают с Китаем, использовала критическую уязвимость BeyondTrust Remote Support до выхода исправления. Злоумышленники проникали на устройства, повышали привилегии до уровня root и получали доступ к учетным данным, которые продукт хранил или обслуживал. Главный вывод для организаций: установить обновление необходимо, но владельцам потенциально уязвимых локальных устройств стоит также проверить, не произошла ли компрометация до установки патча.1
12
Что позволяла уязвимость BeyondTrust
Уязвимость CVE-2026-102764 получила оценку 9,3 по шкале CVSS 4.0 и затрагивает не обновленные версии BeyondTrust Remote Support 26.2.3 и более ранние. Проблема заключалась в недостаточной проверке источника сообщений во внутреннем компоненте продукта. Из-за этого удаленный злоумышленник без аутентификации мог выдать себя за доверенный компонент и выполнять операции с файлами на устройстве.2
3
18
По данным Google и Mandiant, атакующие использовали уязвимость, чтобы получить доступ к устройствам и повысить привилегии до уровня root на хосте. Такой контроль мог открыть доступ к учетным данным, которые хранились в продукте или проходили через него, а также дать точку опоры для дальнейших действий внутри сети.1
3
12
Что известно о злоумышленниках
Google и Mandiant связывают атаки с группой Armory Castle, ранее отслеживавшейся под именем UNC5221.1 В некоторых вторичных публикациях группу также называют Warp Panda, однако доступные здесь источники независимо не подтверждают, что именно CrowdStrike использует это название.
4
В отчетах об атаке упоминаются Sawfly — PHP-веб-шелл — и Bareclaw, инструмент для SOCKS5-туннелирования. Эти средства соответствуют описанным задачам кампании: сохранять доступ и создавать возможности для действий за пределами скомпрометированного устройства.28
33 Доступные данные не подтверждают все детали, которые приписывают этой кампании, поэтому утверждения о конкретных похищенных файлах и точном способе их вывода следует воспринимать осторожно.
Когда происходили атаки и вышло исправление
Согласно публикациям, эксплуатация началась в конце августа 2026 года, до публичного раскрытия уязвимости BeyondTrust. Один из источников указывает на первые атаки 29 августа и сообщает об атаках как на облачный экземпляр BeyondTrust, так и на локальное устройство организации.1
19
BeyondTrust выпустила исправление 8 октября и сообщила, что к 9 октября обновила клиентов SaaS-версии — облачного сервиса, размещенного у поставщика. О CVE-2026-102764 компания публично сообщила 15 октября в бюллетене BT26-05.1
7 Для локальных установок Remote Support версий с 24.3.1 по 26.2.3 в публикациях указан патч BT26-05-RS. На более старых версиях сначала необходимо выполнить обновление до поддерживаемой версии.
1
Что стоит сделать организациям
- Проверьте продукт и его версию. Установите, использовались ли локальные устройства Remote Support версии 26.2.3 или более ранней без исправления. Не следует считать, что локальная установка получила обновление автоматически вместе с SaaS-сервисом.
1
18
- Установите подходящее исправление. Следуйте рекомендациям поставщика для вашей версии, включая необходимый порядок обновления для старых выпусков.
- Проверьте потенциально уязвимые устройства на признаки взлома. В сообщениях Google и Mandiant рекомендуется считать открытые для доступа локальные устройства потенциально скомпрометированными: злоумышленники, как сообщается, получали root-доступ и учетные данные, а также создавали возможности для дальнейшего проникновения.
12
- Оцените риски для учетных записей и связанных систем. Поскольку атакующие, по сообщениям, добрались до учетных данных, которыми управлял продукт, и могли использовать устройство для дальнейшего перемещения по сети, проверка должна охватывать не только саму систему, но и доступные ей аккаунты и ресурсы.
3
Установка исправления блокирует эксплуатацию известной уязвимости, но сама по себе не показывает, успели ли злоумышленники получить доступ до обновления. Поэтому исправление и расследование возможной компрометации — два отдельных шага.1
12
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Как Armory Castle использовала уязвимость BeyondTrust Remote Support»?
Armory Castle использовала CVE 2026 102764 — уязвимость BeyondTrust Remote Support с оценкой CVSS 9,3, затрагивающую версии до 26.2.3 включительно.
Какие ключевые моменты необходимо проверить в первую очередь?
Armory Castle использовала CVE 2026 102764 — уязвимость BeyondTrust Remote Support с оценкой CVSS 9,3, затрагивающую версии до 26.2.3 включительно. BeyondTrust выпустила исправление 8 октября и раскрыла информацию об уязвимости 15 октября 2026 года.