O grupo de espionagem cibernética ligado à China, conhecido como Armory Castle (anteriormente identificado como UNC5221 ou Warp Panda), explorou uma falha de segurança recém-divulgada no BeyondTrust Remote Support (antigamente chamado Bomgar) como uma falha zero-day, ou seja, uma vulnerabilidade ainda desconhecida pelo fabricante, no fim de agosto de 2026.
A vulnerabilidade, catalogada como CVE-2026-102764 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), tem pontuação CVSS de 9,3 (sigla de Common Vulnerability Scoring System, ou Sistema de Pontuação de Vulnerabilidades Comuns). Trata-se de um caso de validação imprópria de origem em um componente de mensagens interno, que poderia ser explorado por um atacante remoto para realizar operações com arquivos em um equipamento afetado.
“O problema existe em componentes internos do Remote Support”, afirmou a BeyondTrust em um alerta divulgado nesta quinta-feira. “Os componentes não validaram adequadamente a origem das mensagens que recebiam. Sob as condições certas, isso poderia ser usado para realizar operações com arquivos no equipamento.”
As correções para a falha foram enviadas a todos os clientes de SaaS (software como serviço) do Remote Support a partir de 9 de outubro de 2026. Clientes que hospedam o produto por conta própria e utilizam versões entre 24.3.1 e 26.2.3 são orientados a atualizar manualmente para o patch BT26-05-RS. Já os clientes com versão anterior à 24.3.1 precisarão migrar para uma versão mais recente para aplicar a correção.
De acordo com uma linha do tempo dos eventos divulgada pela BeyondTrust, o Armory Castle teria explorado a falha como zero-day em um único equipamento Remote Support hospedado pelo próprio cliente, em 29 de agosto de 2026. Em seguida, em 27 de setembro de 2026, “a exploração bem-sucedida de outro fornecedor de dispositivos de segurança tornou-se pública”, acrescentou a empresa, o que a levou a iniciar uma investigação para buscar atividades semelhantes.
O Armory Castle tem histórico de explorar falhas zero-day em equipamentos Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282) para atingir uma ampla gama de setores, como serviços jurídicos, provedores de SaaS, empresas de terceirização de processos de negócios, tecnologia e governos, com o objetivo de coleta de inteligência de longo prazo. Sabe-se que o grupo está ativo desde outubro de 2023.
“O ator usa uma falha zero-day de forma seletiva contra alvos escolhidos e, quando a vulnerabilidade se torna pública, costuma passar para a exploração em larga escala de todas as instâncias ainda não corrigidas”, afirmou a BeyondTrust. “Nossa avaliação é que esse ator seleciona com antecedência alvos de software de alto valor e mantém um modelo de trabalho dos produtos que visa em um contexto de inteligência artificial (IA), o qual utiliza continuamente para desenvolver cadeias de exploração.”
A Mandiant, de propriedade do Google, que divulgou detalhes adicionais sobre a atividade de exploração, afirmou que um comprometimento bem-sucedido é seguido pela implantação de uma web shell leve em PHP (linguagem de programação para desenvolvimento web), com o codinome SAWFLY, para acesso remoto interativo e comunicação criptografada bidirecional de comando e controle (C2).
O operador utiliza nós de saída de VPN (rede privada virtual) comerciais e roteadores comprometidos de residências e pequenos escritórios para se misturar ao tráfego comum. Em seguida, usa a web shell como canal para escalar privilégios, obter controle administrativo total do equipamento e estabelecer persistência de forma que sobreviva a reinicializações.
A invasão se caracteriza por esforços para facilitar o roubo de credenciais, lendo os segredos armazenados no equipamento e abusando do acesso administrativo para alcançar sistemas a jusante e possibilitar o movimento lateral. Detalhes das ações pós-exploração realizadas pelo ator de ameaça estão listados abaixo:
- Obtenção de controle em nível de root sobre o host do equipamento, ao copiar o executável do shell do sistema (/bin/sh) para o arquivo “/usr/bin/dbus-authd”, alterar a propriedade para root e ativar a permissão Set User ID (SUID, ou identificação de usuário definida), fazendo com que seja executado com os privilégios do proprietário do arquivo.
- Tentativa de extrair credenciais diretamente do banco de dados nativo de gerenciamento de segredos do equipamento, usando o utilitário proprietário de interface de linha de comando (CLI) “/ns/sbin/bt-secrets” para gerenciar, armazenar e recuperar senhas, chaves de API (interface de programação de aplicações) e credenciais de endpoints.
- Exploração dos modelos de configuração da BeyondTrust para obter privilégios de root sem senha na conta de serviço do site e
- Acesso ao aplicativo BeyondTrust Remote Support para realizar reconhecimento por meio de credenciais de administrador comprometidas e, em seguida, iniciar sessões remotas em sistemas a jusante cadastrados na lista de Jump Items do equipamento.
- Abuso dos privilégios administrativos elevados para estabelecer uma sessão de suporte remoto com endpoints internos-alvo e obter acesso total ao sistema de arquivos desses sistemas, com o objetivo de baixar e exfiltrar documentos internos sensíveis para reconhecimento da rede.
- Tunelamento de tráfego pelo dispositivo BeyondTrust por meio do BARECLAW, um tunelador de proxy SOCKS5 (protocolo de proxy) personalizado, baseado em C, que retransmite conexões TCP (Protocolo de Controle de Transmissão) entre um cliente remoto e os destinos.
- Modificação do arquivo “/ns/config/haproxy.conf” para garantir que o BARECLAW fique acessível diretamente pela internet.
- Dificultação dos esforços de detecção por meio da exclusão sistemática de registros (logs) de sistema, de servidor web e de nível de aplicação.
“Ao longo da invasão, o Armory Castle demonstrou um profundo conhecimento dos componentes internos dos equipamentos BeyondTrust, como evidenciado pelo abuso de utilitários CLI proprietários, modelos de configuração de inicialização e roteamento de proxy reverso local”, afirmaram o Google Threat Intelligence Group (GTIG) e os pesquisadores da Mandiant Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch e John Wolfram.
“Qualquer equipamento acessível pela internet em uma versão vulnerável durante a janela de exploração deve ser tratado como potencialmente comprometido até que tenha sido revisado.”
