BeyondTrust Remote Support: Zero-Day seit August ausgenutzt

BeyondTrust fordert seine Kunden auf, eine kritische Sicherheitslücke in seinem Produkt Remote Support (RS) zu schließen, über die sich die Authentifizierung umgehen lässt. Eine mutmaßlich mit China verbundene Spionagegruppe nutzt die Schwachstelle bereits seit Ende August als Zero-Day aus.

Die Lücke wird als CVE-2026-102764 geführt. Sie ermöglicht es nicht privilegierten Angreifern aus der Ferne, Dateioperationen auf ungepatchten Appliances auszuführen, und betrifft RS 26.2.3 und ältere Versionen. Das Unternehmen veröffentlichte die Warnung am Donnerstag.

Remote Support ist BeyondTrusts Unternehmenslösung für IT-Servicedesks, Helpdesks und Kundendienstteams, die damit Probleme auf entfernten Rechnern beheben.

SaaS behoben, selbst gehostete Installationen müssen handeln

BeyondTrust hat das Problem für alle SaaS-Kunden von Remote Support und Privileged Remote Access am 8. Oktober behoben. Organisationen mit selbst gehosteten Installationen müssen den Patch manuell einspielen, sofern sie keine automatischen Updates aktiviert haben.

Technische Details zur Lücke veröffentlichte das Unternehmen kaum. Wer hinter den Angriffen steckt, nannte es jedoch. Mandiant und die Google Threat Intelligence Group (GTIG) führen die Angreifer als "Armory Castle", früher bekannt als UNC5221. CrowdStrike bezeichnet denselben Akteur als "Warp Panda".

Von der Web-Shell zu Root-Rechten

Forscher von Mandiant entdeckten die ersten Angriffe. Ihren Erkenntnissen zufolge nutzte Armory Castle die Lücke für den Erstzugriff. Anschließend verschafften sich die Angreifer Root-Rechte auf den kompromittierten Geräten, indem sie Set-User-ID-Berechtigungen (SUID) aktivierten.

Mit dieser Kontrolle installierten die Angreifer zwei bislang unbekannte Schadprogramme: die Web-Shell Sawfly und den Tunneler Bareclaw. Sie löschten Protokolle, um nicht entdeckt zu werden. Danach nutzten sie kompromittierte Administrator-Zugangsdaten, um Fernsitzungen auf nachgelagerten Systemen zu öffnen und sich seitlich durch das Netzwerk des Opfers zu bewegen.

"Nachdem sich der Akteur über die Web-Shell festgesetzt hatte, stieg er vom Konto des Webdienstes zur Root-Kontrolle über den Host der Appliance auf. Damit erhielt er Zugriff auf alle Zugangsdaten, die die Appliance speicherte oder vermittelte, und konnte Dateien verändern, die einen Neustart und das Zurücksetzen der Konfiguration überstehen", erklärte Mandiant.

Mandiants Rat ist unmissverständlich: "Jede Appliance, die während des Ausnutzungszeitraums mit einer verwundbaren Version aus dem Internet erreichbar war, sollte als potenziell kompromittiert gelten, bis sie überprüft wurde."

Shadowserver, eine gemeinnützige Organisation, die Bedrohungen im Internet beobachtet, zählt mehr als 1.400 online erreichbare BeyondTrust-Instanzen für Fernwartung. Wie viele davon bereits gepatcht sind oder wie viele Honeypots darunter sind, gibt sie nicht an.

Ein bekannter Akteur am Netzwerkrand

Armory Castle ist kein unbeschriebenes Blatt. Seit mindestens Oktober 2023 nimmt die Gruppe Zero-Days in Geräten am Netzwerkrand ins Visier, um in Unternehmensnetze einzudringen und eigene Schadsoftware zu installieren. Zu ihren früheren Zielen gehören Citrix NetScaler (CVE-2023-4966) und Ivanti Connect Secure (CVE-2023-46805 und CVE-2024-21887, später CVE-2025-0282).

Im Januar 2024 berichtete Volexity, dass UNC5221 mehr als 2.100 Ivanti-Appliances mit der Web-Shell GiftedVisitor mit einer Hintertür versehen hatte. Bei diesen Angriffen wurden CVE-2023-46805 und CVE-2024-21887 miteinander verkettet.

Mandiant warnte, dass sich das Muster wiederholen könnte. "In früheren Kampagnen hat ARMORY CASTLE nach der öffentlichen Bekanntgabe von Schwachstellen, die es zuvor gezielt als Zero-Days ausgenutzt hatte, breit angelegte und opportunistische Angriffe durchgeführt, um noch vor dem Einspielen der Patches in Zielorganisationen einzudringen", so das Unternehmen. "Es ist möglich, dass wir ähnliche breit angelegte Ausnutzungsversuche im Zusammenhang mit CVE-2026-102764 beobachten werden."

BeyondTrusts Serie ausgenutzter Lücken

Es ist nicht die erste BeyondTrust-Lücke, die in den vergangenen Jahren in freier Wildbahn ausgenutzt wurde. Zuletzt nutzten Angreifer eine kritische Lücke zur Remote-Codeausführung, CVE-2026-1731, in Appliances für Remote Support und Privileged Remote Access, um WebSocket-Kanäle einzurichten und Ransomware zu verteilen.

Davor soll die chinesische, staatlich unterstützte Gruppe Silk Typhoon zwei Zero-Days, CVE-2024-12356 und CVE-2024-12686, ausgenutzt haben, um in BeyondTrusts eigene Systeme einzudringen. Mit einem gestohlenen API-Schlüssel kompromittierte die Gruppe 17 SaaS-Instanzen von Remote Support, darunter eine des US-Finanzministeriums.

Dieselbe Kampagne richtete sich auch gegen das Office of Foreign Assets Control (OFAC), das die US-Sanktionsprogramme verwaltet, sowie gegen das Committee on Foreign Investment in the United States (CFIUS), das ausländische Investitionen auf Risiken für die nationale Sicherheit prüft.

Nach eigenen Angaben betreut BeyondTrust weltweit mehr als 20.000 Kunden, darunter Behörden und 75 % der Fortune-100-Unternehmen.

Unsere Einschätzung

Fernwartungswerkzeuge sind lohnende Ziele, weil sie dafür gebaut sind, Zugangsdaten vorzuhalten und tief in Netzwerke hineinzureichen. Dieser Fall zeigt genau dieses Risiko. Sobald Armory Castle Root-Rechte auf der Appliance hatte, hatte die Gruppe laut Mandiant Zugriff auf alle Zugangsdaten, die das Gerät speicherte oder vermittelte. Das spricht dafür, dass ein Patch allein nicht reicht, wenn seit Ende August eine verwundbare, aus dem Internet erreichbare Version im Einsatz war. Eine Überprüfung auf Kompromittierung, das Austauschen von Zugangsdaten und die Kontrolle der Protokolle auf nachgelagerten Systemen erscheinen als die vorsichtigere Reaktion.

Der Vorfall passt zudem in einen größeren Trend: Staatsnahe Gruppen haben es zunehmend auf Geräte am Netzwerkrand abgesehen. In den vergangenen Wochen wurden ausgenutzte Lücken in Ivanti Connect Secure, Palo Alto Networks PAN-OS und Ciscos E-Mail-Gateway bekannt.

Zwei Dinge lohnt es sich als Nächstes im Blick zu behalten. Erstens, ob sich Mandiants Warnung vor einer breiteren opportunistischen Ausnutzung bewahrheitet, nun da die Lücke öffentlich ist. Zweitens, wie schnell die rund 1.400 von Shadowserver gezählten erreichbaren Instanzen weniger werden.