Potrivit The Hacker News, grupul de spionaj cibernetic Armory Castle, legat de China, a exploatat o gravă vulnerabilitate în platforma BeyondTrust Remote Support încă din august 2026. Defectul de securitate, identificat ca CVE-2026-102764 cu scor CVSS 9.3, permitea atacatorilor să efectueze operații cu fișiere pe serverele afectate prin validare insuficientă a originii mesajelor în componente interne.
Exploatarea inițială a vizat un singur aparat self-hosted la 29 august 2026. După ce o vulnerabilitate similară la alt furnizor a devenit publică pe 27 septembrie, BeyondTrust a lansat o investigație și a identificat activitatea rău intenționată. Compania a distribuit patch-uri clienților SaaS din 9 octombrie, în timp ce utilizatorii de versiuni self-hosted trebuie să actualizeze manual sistemele.
Cercetătorii de la Mandiant au dezvăluit că atacatorii au desfășurat o scoică web PHP numită SAWFLY pentru acces la distanță și control remote criptat. Grupul a folosit VPN-uri comerciale și routere compromise pentru a se camufla, apoi a escalat privilegiile și a accesat sisteme downstream. Armory Castle mai exploatase anterior vulnerabilități zero-day în platformele Citrix și Ivanti.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
