Un grupo vinculado a China explota un día cero en BeyondTrust Remote Support

BeyondTrust, Mandiant y Google Threat Intelligence Group (GTIG) confirmaron la explotación de una vulnerabilidad de día cero en sus dispositivos Remote Support, utilizados por equipos de TI para acceder y solucionar problemas en sistemas remotos. BeyondTrust ha publicado un parche y varias medidas de mitigación.

La vulnerabilidad, identificada como CVE-2026-102764, fue descubierta después de que Mandiant alertara a BeyondTrust sobre un posible fallo. La investigación vinculó el problema con un ataque observado el 29 de agosto, mientras que BeyondTrust recibió el primer aviso el 27 de septiembre.

Según Mandiant, los atacantes lograron elevar privilegios, desplazarse lateralmente por la red de la víctima y consolidar su presencia. El grupo, denominado Armory Castle o UNC5221, demostró un conocimiento profundo de los componentes internos de los dispositivos y empleó los programas maliciosos Sawfly y Bareclaw.

Los atacantes obtuvieron las credenciales almacenadas en los dispositivos y modificaron archivos capaces de persistir tras reinicios y restablecimientos de configuración. Mandiant recomendó considerar potencialmente comprometido cualquier dispositivo vulnerable expuesto a Internet hasta completar su revisión.

BeyondTrust describió a Armory Castle como una operación de espionaje respaldada por China y centrada en la recopilación de inteligencia a largo plazo. Entre sus objetivos documentados figuran empresas de servicios jurídicos, proveedores SaaS, externalizadores de procesos empresariales, compañías tecnológicas y organismos gubernamentales.

Google Threat Intelligence Group señaló que el grupo ha atacado países y sectores diversos desde octubre de 2023 y que podría iniciar una explotación más amplia de CVE-2026-102764 tras su divulgación pública, como ya ocurrió con vulnerabilidades de Citrix e Ivanti.

Fuente: The Record.