A Google e a Mandiant identificaram ataques que exploraram uma falha crítica no BeyondTrust Remote Support, uma plataforma utilizada por organizações para prestar assistência técnica e aceder remotamente a computadores. A vulnerabilidade, identificada como CVE-2026-102764, permitiu aos atacantes comprometer equipamentos, obter privilégios administrativos e alcançar sistemas internos das organizações afetadas.
A investigação revelou que os ataques começaram no final de agosto de 2026, várias semanas antes da divulgação pública da vulnerabilidade, a 15 de outubro. Os investigadores associam a atividade ao grupo de ciberespionagem ARMORY CASTLE, anteriormente conhecido como UNC5221, que terá ligações à China.
Falha crítica no BeyondTrust permite acesso a sistemas internos
Segundo o aviso de segurança BT26-05 publicado pela BeyondTrust, a vulnerabilidade recebeu uma classificação de gravidade de 9,3 em 10 na escala CVSS v4 e afeta as versões do Remote Support até à 26.2.3.
A falha resulta de uma validação inadequada da origem das mensagens recebidas por componentes internos da plataforma. A sua exploração permite a um atacante remoto executar operações sobre ficheiros sem necessidade de autenticação. Em determinadas condições, este acesso pode evoluir para o controlo do equipamento e a obtenção de credenciais armazenadas ou geridas pelo sistema.
O risco é particularmente relevante porque o BeyondTrust Remote Support funciona como um ponto de acesso privilegiado a redes empresariais. O comprometimento da plataforma pode permitir aos atacantes utilizar as próprias ferramentas de assistência técnica para alcançar outros computadores, sem necessidade de explorar diretamente vulnerabilidades nesses sistemas.
A análise técnica publicada pelo Google Threat Intelligence Group e pela Mandiant documenta este cenário. Após explorarem a vulnerabilidade, os atacantes instalaram ferramentas maliciosas que lhes permitiram executar comandos, manter o acesso aos equipamentos comprometidos e estabelecer canais de comunicação com a infraestrutura sob o seu controlo.
Entre as ferramentas identificadas encontram-se o SAWFLY, uma webshell que permite executar comandos remotamente, e o BARECLAW, utilizado para criar túneis de comunicação.
Os investigadores observaram ainda a utilização de ferramentas internas da plataforma para aumentar privilégios, aceder a outros sistemas e manter o controlo após o comprometimento inicial. Os atacantes também apagaram registos de atividade e outros vestígios da intrusão para dificultar a sua deteção.
BeyondTrust corrigiu a vulnerabilidade antes do alerta público
A BeyondTrust começou a distribuir a atualização de segurança BT26-05 em 8 de outubro, uma semana antes da divulgação pública da falha.
De acordo com a cronologia divulgada pela empresa, todas as instâncias do Remote Support alojadas no seu serviço SaaS receberam a correção até 9 de outubro. A atualização foi aplicada automaticamente, pelo que estes clientes não precisam de intervir para corrigir a vulnerabilidade nos equipamentos.
A situação é diferente nas instalações próprias. As organizações que utilizam o Remote Support nos seus servidores devem confirmar se a atualização BT26-05-RS foi instalada. Os sistemas com versões anteriores à 24.3.1 precisam de ser atualizados para uma versão compatível antes de receberem a correção.
A BeyondTrust também disponibilizou uma atualização preventiva para o Privileged Remote Access, outro produto que partilha parte do código afetado. A empresa esclarece, contudo, que os seus testes não identificaram uma forma de explorar esta vulnerabilidade nesse produto.
A instalação da correção impede novas explorações da falha, mas não elimina necessariamente os mecanismos de acesso que possam ter sido instalados anteriormente.
Por esse motivo, a Mandiant recomenda que as organizações com equipamentos potencialmente expostos analisem os registos de segurança, verifiquem alterações às permissões administrativas e investiguem acessos suspeitos a outros computadores.
Nos casos em que existam indícios de comprometimento, poderá ser necessário reconstruir os equipamentos afetados e substituir as credenciais que estiveram acessíveis aos atacantes.
Google associa os ataques a grupo de ciberespionagem ligado à China
O Google Threat Intelligence Group associa a exploração da vulnerabilidade ao ARMORY CASTLE, um grupo anteriormente identificado como UNC5221 e também acompanhado pela CrowdStrike sob a designação WARP PANDA.
A atribuição baseia-se nos métodos utilizados, nas ferramentas identificadas e nas semelhanças com campanhas anteriores. A avaliação apresenta um nível de confiança moderado a elevado, o que não equivale a uma identificação definitiva dos responsáveis.
O grupo já tinha sido associado à exploração de vulnerabilidades desconhecidas em equipamentos de acesso remoto da Ivanti e da Citrix. Estas operações procuram comprometer sistemas expostos à Internet que possam servir como pontos de entrada para redes empresariais.
A BeyondTrust já tinha estado associada a outro incidente de cibersegurança de grande dimensão. Em dezembro de 2024, o Departamento do Tesouro dos Estados Unidos foi alvo de um ciberataque que envolveu uma ferramenta de assistência remota da empresa. As autoridades norte-americanas atribuíram esse ataque a intervenientes ligados à China. Trata-se, contudo, de um incidente distinto da exploração da CVE-2026-102764.
A investigação também permitiu esclarecer a cronologia dos ataques. Segundo a BeyondTrust, em 29 de agosto foram comprometidas uma instância do Remote Support alojada pela empresa e outra instalada na infraestrutura de um cliente.
A atividade suspeita foi identificada pela equipa de segurança da BeyondTrust em 28 de setembro. A empresa afirma que conseguiu conter o incidente na sua infraestrutura em 27 minutos após a deteção. Dois dias depois, a Mandiant partilhou resultados de uma investigação independente que confirmaram a exploração da mesma vulnerabilidade.
A divulgação pública da CVE-2026-102764 aumenta agora o risco de novas tentativas de exploração. A Google alerta que o ARMORY CASTLE e outros grupos já recorreram a ataques oportunistas contra equipamentos que permaneceram vulneráveis depois de serem publicadas as respetivas correções.
Embora a investigação confirme a existência de ataques, não demonstra que todos os sistemas afetados pela vulnerabilidade tenham sido comprometidos. As organizações que mantiveram equipamentos expostos à Internet durante o período de exploração devem, por isso, verificar não apenas a instalação da atualização, mas também a eventual existência de acessos não autorizados anteriores à correção.
Outros artigos interessantes:
