BeyondTrust Remote Support: día cero explotado desde agosto
BeyondTrust pide a sus clientes que parcheen una vulnerabilidad crítica de omisión de autenticación en su producto Remote Support (RS). Un grupo de espionaje presuntamente vinculado a China lleva explotando el fallo como día cero desde finales de agosto.
La vulnerabilidad está registrada como CVE-2026-102764. Permite a atacantes remotos sin privilegios realizar operaciones con archivos en dispositivos sin parchear y afecta a RS 26.2.3 y versiones anteriores. La compañía emitió el aviso el jueves.
Remote Support es la herramienta empresarial de BeyondTrust para centros de servicios de TI, servicios de asistencia y equipos de atención al cliente, que la utilizan para resolver problemas en equipos remotos.
SaaS corregido, las instalaciones propias requieren intervención
BeyondTrust corrigió el problema para todos los clientes SaaS de Remote Support y Privileged Remote Access el 8 de octubre. Las organizaciones con instalaciones propias deben aplicar el parche manualmente si no tienen activadas las actualizaciones automáticas.
La compañía ha dado pocos detalles técnicos sobre el fallo. Lo que sí ha dicho es quién está detrás de los ataques. Mandiant y Google Threat Intelligence Group (GTIG) siguen a los atacantes bajo el nombre "Armory Castle", antes conocido como UNC5221. CrowdStrike llama al mismo actor "Warp Panda".
De la web shell a root
Los investigadores de Mandiant detectaron los primeros ataques. Según sus conclusiones, Armory Castle utilizó el fallo para obtener el acceso inicial. Después, los atacantes consiguieron privilegios de root en los dispositivos comprometidos activando permisos Set User ID (SUID).
Con ese nivel de control, los atacantes desplegaron dos herramientas de malware hasta ahora desconocidas: la web shell Sawfly y el tunelizador Bareclaw. Borraron los registros para no ser detectados. A continuación, usaron credenciales de administrador comprometidas para abrir sesiones remotas en sistemas dependientes y moverse lateralmente por la red de la víctima.
"Tras afianzarse mediante la web shell, el actor pasó de la cuenta del servicio web a tener control de nivel root sobre el host del dispositivo. Esto le dio acceso a todas las credenciales que el dispositivo almacenaba o gestionaba como intermediario y la capacidad de modificar archivos que sobreviven a reinicios y a restablecimientos de la configuración", explicó Mandiant.
El consejo de Mandiant es claro: "Cualquier dispositivo que fuera accesible desde internet con una versión vulnerable durante el periodo de explotación debe tratarse como potencialmente comprometido hasta que haya sido revisado".
Shadowserver, una organización sin ánimo de lucro que vigila las amenazas en internet, contabiliza más de 1.400 instancias de soporte remoto de BeyondTrust expuestas en la red. No precisa cuántas de ellas ya se han parcheado ni cuántas son honeypots.
Un actor conocido en el perímetro de la red
Armory Castle tiene antecedentes. Al menos desde octubre de 2023, el grupo ha ido a por vulnerabilidades de día cero en dispositivos perimetrales de red para entrar en redes corporativas e instalar malware a medida. Entre sus objetivos anteriores figuran Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805 y CVE-2024-21887, y más tarde CVE-2025-0282).
En enero de 2024, Volexity informó de que UNC5221 había instalado puertas traseras en más de 2.100 dispositivos de Ivanti con la webshell GiftedVisitor. Esos ataques encadenaban CVE-2023-46805 y CVE-2024-21887.
Mandiant advirtió de que el patrón podría repetirse. "En campañas anteriores, ARMORY CASTLE ha llevado a cabo una explotación generalizada y oportunista tras la divulgación pública de vulnerabilidades que había explotado de forma selectiva como día cero, en una carrera por infiltrarse en las organizaciones objetivo antes de que se desplieguen los parches", señaló la compañía. "Es posible que observemos intentos similares de explotación generalizada asociados a CVE-2026-102764".
La racha de fallos explotados de BeyondTrust
No es el primer fallo de BeyondTrust explotado activamente en los últimos años. El caso más reciente: los atacantes aprovecharon una vulnerabilidad crítica de ejecución remota de código, CVE-2026-1731, en dispositivos de Remote Support y Privileged Remote Access para establecer canales WebSocket y desplegar ransomware.
Antes de eso, se cree que el grupo Silk Typhoon, respaldado por el Estado chino, explotó dos vulnerabilidades de día cero, CVE-2024-12356 y CVE-2024-12686, para vulnerar los propios sistemas de BeyondTrust. Con una clave de API robada, el grupo comprometió 17 instancias SaaS de Remote Support, entre ellas una perteneciente al Departamento del Tesoro de EE. UU.
La misma campaña también tuvo como objetivo la Office of Foreign Assets Control (OFAC), que gestiona los programas de sanciones de EE. UU., y el Committee on Foreign Investment in the United States (CFIUS), que examina las inversiones extranjeras en busca de riesgos para la seguridad nacional.
BeyondTrust afirma que da servicio a más de 20.000 clientes en todo el mundo, entre ellos organismos públicos y el 75% de las empresas del Fortune 100.
Nuestro análisis
Las herramientas de soporte remoto son objetivos atractivos porque están diseñadas para guardar credenciales y llegar hasta lo más profundo de las redes. Este caso muestra precisamente ese riesgo. Una vez que Armory Castle tuvo root en el dispositivo, según Mandiant, tuvo acceso a todas las credenciales que el equipo almacenaba o gestionaba como intermediario. Eso indica que el parche por sí solo no basta para quien haya tenido una versión vulnerable expuesta a internet desde finales de agosto. Una revisión de posibles compromisos, la rotación de credenciales y la comprobación de los registros en los sistemas dependientes parecen la respuesta más prudente.
El incidente encaja además en una tendencia más amplia de grupos vinculados a Estados que van a por dispositivos perimetrales. En las últimas semanas se han explotado fallos en Ivanti Connect Secure, PAN-OS de Palo Alto Networks y la pasarela de correo de Cisco.
Hay dos cosas que conviene vigilar a partir de ahora. La primera, si se cumple la advertencia de Mandiant sobre una explotación oportunista más amplia ahora que el fallo es público. La segunda, a qué ritmo disminuyen las aproximadamente 1.400 instancias expuestas que contabiliza Shadowserver.