ARMORY CASTLE эксплуатирует уязвимость нулевого дня в Remote Support

15 октября 2026 года BeyondTrust сообщила об активной эксплуатации критической уязвимости нулевого дня CVE-2026-102764 в устройстве Remote Support. Из-за сбоя проверки источника в компонентах внутренней передачи сообщений удалённый атакующий без аутентификации мог выполнять произвольные файловые операции, в том числе загружать файлы. В зафиксированных атаках эксплуатация уязвимости приводила к получению полного контроля над хостом с правами root.

При анализе вариантов атаки BeyondTrust выявила дополнительные пути, использовавшие тот же недостаток, и устранила их в патче. Mandiant связала активность с ARMORY CASTLE, ранее отслеживавшейся как UNC5221, предположительно китайской шпионской группой.

Актор продемонстрировал подробное знание внутренней архитектуры устройства и использовал утилиты командной строки и шаблоны конфигурации BeyondTrust для закрепления. Эти изменения сохраняли доступ root и вредоносные модификации после перезагрузок и сбросов конфигурации.

После компрометации устройства ARMORY CASTLE использовал украденные учётные данные администратора, чтобы инициировать сессии поддержки на конечных точках. Атакующие также применяли легитимную функцию передачи файлов продукта для сбора внутренних ИТ-документов.

Устройства Remote Support могут хранить учётные данные или выступать посредником при их передаче, а также предоставлять привилегированный доступ к управляемым системам. В отчёте описанная активность характеризуется как операция, ориентированная на шпионаж: она сочетала эксплуатацию доступного из интернета устройства, закрепление на скомпрометированном хосте, злоупотребление учётными данными, горизонтальное перемещение через доверенные административные функции и сбор конфиденциальных внутренних данных.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.