Um grupo de hackers, supostamente ligado à China, explorou uma vulnerabilidade crítica na BeyondTrust Remote Support, identificada como CVE-2026-102764, em agosto de 2026. A falha, que permite a um atacante remoto não autenticado realizar operações de arquivo em um dispositivo afetado, foi utilizada para obter acesso root e instalar ferramentas de manutenção de acesso, antes mesmo da divulgação da vulnerabilidade pela BeyondTrust em 15 de outubro de 2026.
A investigação conduzida pela Mandiant revelou que os atacantes, associados ao grupo ARMORY CASTLE, anteriormente conhecido como UNC5221, conseguiram explorar a vulnerabilidade em um appliance de suporte remoto auto-hospedado em 29 de agosto. O Google Threat Intelligence Group confirmou que a atividade ocorreu semanas antes da divulgação pública da falha, o que destaca a gravidade da situação.
O ataque começou com o envio de requisições POST para um endpoint específico, resultando na criação de um webshell PHP chamado SAWFLY, que permitiu aos hackers executar comandos remotamente. Este webshell foi projetado para evitar a detecção, respondendo com um erro 404 quando parâmetros esperados não estavam presentes, o que dificultou a identificação por scanners de segurança.
Após a exploração inicial, os atacantes conseguiram escalar seus privilégios a partir de uma conta de serviço de baixo nível para o nível root, copiando o executável do shell do sistema para um novo arquivo e alterando suas permissões. Essa técnica, conhecida como Set User ID (SUID), permitiu que o programa fosse executado com os privilégios do proprietário, dando aos hackers controle total sobre o appliance.
Além de obter acesso root, os hackers tentaram acessar o utilitário de gerenciamento de segredos da BeyondTrust, buscando credenciais armazenadas. A Mandiant observou que os atacantes deletaram logs de autenticação e de sistema, dificultando investigações futuras. Para garantir a persistência de seu acesso, eles criaram um script de inicialização que concedeu privilégios administrativos sem senha à conta de serviço, permitindo que o acesso sobrevivesse a reinicializações e redefinições de configuração.
Os hackers também utilizaram uma ferramenta chamada BARECLAW, que criava um túnel de rede através do dispositivo comprometido, permitindo que eles se conectassem a outros sistemas na rede interna da vítima. A modificação das regras de configuração do proxy reverso do appliance permitiu que o tráfego web selecionado fosse redirecionado para esse túnel, aumentando ainda mais o alcance do ataque.
A BeyondTrust lançou patches para corrigir a vulnerabilidade em 8 de outubro de 2026, com a maioria dos clientes SaaS recebendo a atualização até 9 de outubro. No entanto, clientes que utilizam versões auto-hospedadas precisam aplicar as atualizações manualmente, o que representa um risco contínuo para aqueles que não estão atualizados.
Este incidente ilustra a importância de monitorar e aplicar patches em dispositivos de suporte remoto, que podem ser alvos de ataques de espionagem cibernética. A Mandiant e o Google alertam que, após a divulgação pública de uma vulnerabilidade, os atacantes costumam ampliar suas atividades de exploração, visando um número maior de dispositivos ainda não corrigidos.
As implicações desse ataque são significativas, pois a exploração de falhas em dispositivos de suporte remoto pode comprometer não apenas o appliance em si, mas também sistemas internos conectados a ele. A situação permanece em evolução, e novas informações sobre as táticas do grupo ARMORY CASTLE e suas atividades podem surgir à medida que as investigações continuam.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews