BeyondTrust Remote Support-zero-day misbruikt sinds augustus

BeyondTrust roept klanten op om een kritiek lek in Remote Support (RS) te dichten waarmee aanvallers de authenticatie kunnen omzeilen. Een spionagegroep met vermoedelijke banden met China misbruikt het lek al sinds eind augustus als zero-day.

De kwetsbaarheid heeft het kenmerk CVE-2026-102764. Aanvallers zonder rechten kunnen er op afstand bestandsbewerkingen mee uitvoeren op appliances die nog niet zijn bijgewerkt. Het lek zit in RS 26.2.3 en eerdere versies. Het bedrijf gaf de waarschuwing donderdag uit.

Remote Support is de zakelijke tool van BeyondTrust voor IT-servicedesks, helpdesks en klantenserviceteams. Zij gebruiken het om problemen op computers op afstand op te lossen.

SaaS gedicht, zelf gehoste installaties vragen actie

BeyondTrust heeft het probleem op 8 oktober verholpen voor alle SaaS-klanten van Remote Support en Privileged Remote Access. Organisaties met een zelf gehoste installatie moeten de patch handmatig installeren als ze automatische updates niet hebben ingeschakeld.

Het bedrijf geeft weinig technische details over het lek. Wel maakte het bekend wie achter de aanvallen zit. Mandiant en Google Threat Intelligence Group (GTIG) volgen de aanvallers onder de naam "Armory Castle", voorheen bekend als UNC5221. CrowdStrike noemt dezelfde groep "Warp Panda".

Van webshell naar root

Onderzoekers van Mandiant ontdekten de eerste aanvallen. Volgens hun bevindingen gebruikte Armory Castle het lek om binnen te komen. Daarna verschaften de aanvallers zich rootrechten op de getroffen apparaten door Set User ID (SUID)-rechten in te schakelen.

Met die mate van controle installeerden de aanvallers twee nog niet eerder geziene malwaretools: de Sawfly-webshell en de Bareclaw-tunneler. Ze wisten logbestanden om niet ontdekt te worden. Vervolgens gebruikten ze buitgemaakte beheerdersgegevens om externe sessies te openen op achterliggende systemen en zich verder door het netwerk van het slachtoffer te verplaatsen.

"Nadat de actor via de webshell voet aan de grond had gekregen, schaalde hij op van het account van de webservice naar volledige rootcontrole over de host van de appliance. Daarmee kreeg hij toegang tot alle inloggegevens die de appliance opsloeg of doorgaf, en de mogelijkheid om bestanden aan te passen die een herstart en het resetten van de configuratie overleven", aldus Mandiant.

Het advies van Mandiant is helder: "Elke appliance die tijdens de periode van misbruik met een kwetsbare versie vanaf internet bereikbaar was, moet als mogelijk gecompromitteerd worden beschouwd totdat die is onderzocht."

Shadowserver, een non-profitorganisatie die dreigingen op internet in de gaten houdt, telt meer dan 1.400 BeyondTrust-installaties voor ondersteuning op afstand die online bereikbaar zijn. Hoeveel daarvan al zijn gepatcht of honeypots zijn, vermeldt de organisatie niet.

Een bekende speler aan de netwerkrand

Armory Castle heeft een staat van dienst. Sinds ten minste oktober 2023 richt de groep zich op zero-days in apparaten aan de rand van het netwerk om bedrijfsnetwerken binnen te dringen en eigen malware te installeren. Eerdere doelwitten waren onder meer Citrix NetScaler (CVE-2023-4966) en Ivanti Connect Secure (CVE-2023-46805 en CVE-2024-21887, en later CVE-2025-0282).

In januari 2024 meldde Volexity dat UNC5221 meer dan 2.100 Ivanti-appliances van een achterdeur had voorzien met de GiftedVisitor-webshell. Bij die aanvallen werden CVE-2023-46805 en CVE-2024-21887 aan elkaar gekoppeld.

Mandiant waarschuwt dat het patroon zich kan herhalen. "Bij eerdere campagnes heeft ARMORY CASTLE op grote schaal en opportunistisch misbruik gemaakt van kwetsbaarheden nadat die openbaar waren gemaakt, terwijl de groep ze daarvoor selectief als zero-day had ingezet. Daarbij probeerde de groep doelwitorganisaties binnen te dringen voordat patches waren uitgerold", aldus het bedrijf. "Het is mogelijk dat we vergelijkbare grootschalige pogingen tot misbruik van CVE-2026-102764 zullen zien."

Reeks misbruikte lekken bij BeyondTrust

Het is niet de eerste keer de afgelopen jaren dat een fout in BeyondTrust-software in het wild wordt misbruikt. Onlangs nog gebruikten aanvallers een kritiek lek voor het uitvoeren van code op afstand, CVE-2026-1731, in appliances voor Remote Support en Privileged Remote Access om WebSocket-kanalen op te zetten en ransomware te verspreiden.

Daarvoor zou de Chinese, door de staat gesteunde groep Silk Typhoon twee zero-days, CVE-2024-12356 en CVE-2024-12686, hebben misbruikt om de eigen systemen van BeyondTrust binnen te dringen. Met een gestolen API-sleutel compromitteerde de groep 17 SaaS-omgevingen van Remote Support, waaronder die van het Amerikaanse ministerie van Financien.

Dezelfde campagne richtte zich ook op het Office of Foreign Assets Control (OFAC), dat de Amerikaanse sanctieprogramma's uitvoert, en het Committee on Foreign Investment in the United States (CFIUS), dat buitenlandse investeringen toetst op risico's voor de nationale veiligheid.

BeyondTrust zegt wereldwijd meer dan 20.000 klanten te bedienen, onder wie overheidsinstanties en 75 procent van de Fortune 100-bedrijven.

Onze analyse

Tools voor ondersteuning op afstand zijn aantrekkelijke doelwitten, omdat ze juist zijn gebouwd om inloggegevens te bewaren en diep in netwerken door te dringen. Deze zaak laat precies dat risico zien. Zodra Armory Castle rootrechten had op de appliance, had de groep volgens Mandiant toegang tot alle inloggegevens die het apparaat opsloeg of doorgaf. Dat wijst erop dat alleen patchen niet genoeg is voor iedereen die sinds eind augustus een kwetsbare, vanaf internet bereikbare versie draaide. Een onderzoek naar mogelijke compromittering, het vervangen van inloggegevens en het controleren van logbestanden op achterliggende systemen lijkt de verstandigere aanpak.

Het incident past ook in een bredere trend waarin aan staten gelieerde groepen het gemunt hebben op randapparatuur. De afgelopen weken werden er misbruikte lekken gemeld in Ivanti Connect Secure, Palo Alto Networks PAN-OS en de e-mailgateway van Cisco.

Er zijn twee dingen om in de gaten te houden. Het eerste is of de waarschuwing van Mandiant voor breder opportunistisch misbruik uitkomt nu het lek openbaar is. Het tweede is hoe snel het aantal van zo'n 1.400 bereikbare installaties dat Shadowserver telt, afneemt.