BeyondTrust Remote Support: zero-day exploatat din august, înainte de corectură. Ce faci dacă furnizorul tău IT folosește un asemenea instrument

• BeyondTrust a publicat avizul BT26-05. Potrivit CISA și BleepingComputer, CVE-2026-102764 este o vulnerabilitate critică de ocolire a autentificării (CWE-290) în Remote Support versiunea 26.2.3 și mai vechi, care permite unui atacator de la distanță, neautentificat, să facă operațiuni cu fișiere pe aparat. Nu am găsit un scor CVSS în sursele citite.
• CISA a adăugat vulnerabilitatea în catalogul KEV pe 16 octombrie și spune că actori o exploatează activ pentru acces inițial, persistență, escaladare de privilegii și mișcare laterală. Cere acțiune imediată; pagina nu dă un termen pentru agențiile federale.
• Remediere: patch-ul BT26-05-RS este disponibil pentru versiunile suportate 24.3.1 și mai noi; aparatele self-hosted mai vechi trebuie actualizate la o versiune suportată, apoi corectate, potrivit CISA. Clienții SaaS au fost corectați pe 8 sau 9 octombrie, după sursă (BleepingComputer spune 8, Mandiant 9). Pentru Privileged Remote Access, BeyondTrust a spus că folosește cod comun, dar testele interne nu au găsit o cale de exploatare; a lansat patch-ul din prudență, potrivit BleepingComputer.
• Exploatarea: The Record și BleepingComputer, pe baza avizului BeyondTrust și a Mandiant, plasează exploatarea ca zero-day la sfârșitul lui august (The Record: 29 august). BeyondTrust a confirmat vulnerabilitatea și a fost de acord cu evaluarea Mandiant. The Record notează că watchTowr a confirmat exploatarea.
• Atribuire: Mandiant atribuie activitatea unui actor pe care îl numește ARMORY CASTLE (fost UNC5221), suspectat de spionaj cu legături în China; CrowdStrike îl numește Warp Panda, potrivit BleepingComputer. Atribuirea rămâne o evaluare a cercetătorilor.

Potrivit Mandiant, după exploatare actorul a obținut drepturi de root, a instalat un web shell și un tunel, a șters jurnale și a extras credențialele păstrate în seifurile aparatului. A modificat fișiere care supraviețuiesc unei reporniri și unei resetări a configurației, apoi s-a mutat lateral cu credențiale de administrator, a ridicat roluri în aplicație și a folosit sesiuni de suport și transfer de fișiere pentru a scoate documente interne, precum inventare de software.

Nu reproducem indicatorii tehnici; Mandiant i-a publicat, împreună cu reguli de detecție, în raportul lui. Importantă este concluzia: cine controlează aparatul poate vedea și folosi tot ce acesta gestionează.

• Câte organizații au fost compromise, în ce țări și în ce sectoare: sursele nu dau un număr confirmat. BeyondTrust spune că actorul a vizat în trecut servicii juridice, furnizori SaaS, firme de externalizare a proceselor, companii de tehnologie și guvern.
• Expunerea: Shadowserver urmărește peste 1.400 de instanțe Remote Support expuse, potrivit BleepingComputer; nu se știe câte sunt corectate sau sunt capcane (honeypot).
• Exploatare largă după dezvăluire: Mandiant o consideră probabilă, pe baza comportamentului trecut al actorului. Este o prognoză, nu o observație.
• Data de început și build-ul exact corectat pentru ramura 26.x: sursele nu o dau explicit; folosește avizul BeyondTrust.

De la sfârșitul lui august până la dezvăluire au trecut aproape șapte săptămâni. Mandiant spune că orice aparat vulnerabil accesibil din internet în perioada de exploatare ar trebui tratat ca potențial compromis până este analizat. Din cauza persistenței care supraviețuiește reconfigurării, Mandiant recomandă reconstruirea dintr-o imagine curată și corectată, nu curățarea aparatului.

Un aparat de acces la distanță este un seif: dacă a fost compromis, trebuie schimbate toate credențialele pe care le-a păstrat sau le-a transmis, în ordinea dependențelor, pentru că rotirea înainte de reconstruire le oferă atacatorului pe cele noi.

• Verifică versiunea și corectează cu BT26-05-RS sau actualizează mai întâi, dacă ești sub 24.3.1. Dacă folosești SaaS, confirmă la BeyondTrust ce a fost aplicat.
• Restrânge accesul: limitează pagina de autentificare și interfața de administrare la adrese de încredere, folosește SSO cu autentificare multifactor rezistentă la phishing și păstrează un singur cont de urgență într-un seif.
• Caută semne de compromitere: sesiuni privilegiate necunoscute, scripturi sau fișiere necunoscute, goluri în jurnale, modificări de cont, permisiuni sau politici de sesiune fără ticket, utilizatori noi sau înregistrări MFA noi pe conturi privilegiate.
• Dacă ai suspiciune: izolează aparatul, păstrează imagini și jurnale (WAF, proxy, firewall) înainte de modificări, reconstruiește din imagine curată, apoi rotește credențialele în ordine și revocă sesiunile active.
• Aplică principiul privilegiului minim: rol implicit fără acces, conturi API cu drepturi minime, credențiale privilegiate într-un seif extern.
• Trimite jurnalele către un SIEM prin conexiune securizată, cu retenție de luni, și pune un WAF sau reverse proxy cu jurnalizarea completă a URI-urilor în fața aparatului.

• Ce instrumente de acces la distanță folosiți pentru a ne administra? Dacă BeyondTrust, ce versiune și unde este găzduit?
• Este aparatul accesibil din internet? Cine îl corectează și în cât timp de la un aviz critic?
• Ați verificat dacă a fost expus între sfârșitul lui august și corectură? Ce dovezi aveți?
• Ce credențiale ale noastre păstrează instrumentul și cum le rotiți după un incident?
• Cum separați accesul fiecărui client și cum jurnalizați sesiunile?
• Cum ne anunțați dacă instrumentul dumneavoastră este compromis? În cât timp? Contractul trebuie să prevadă asta.

Un furnizor care are acces privilegiat la sistemele tale intră în lanțul tău de aprovizionare, iar NIS2 cere gestionarea acestui risc. Dacă găsești o compromitere, entitățile esențiale și importante au avertizarea timpurie în 24 de ore și raportul inițial în 72 de ore pentru incidente semnificative; pentru date personale, GDPR cere notificare în 72 de ore dacă riscul o impune. Aplicabilitatea depinde de situația ta; verifică cu juristul sau cu responsabilul cu protecția datelor.

CISA și avizul BeyondTrust sunt sursele primare pentru vulnerabilitate și remediere. Mandiant este sursa pentru comportamentul atacatorilor și pentru atribuire, iar presa independentă (BleepingComputer, The Record, SecurityWeek) confirmă faptele de bază. Atribuirea către un actor din China rămâne o evaluare.

Awarely Monitor poate ajuta la evidența echipamentelor de acces la distanță și a expunerii lor, iar Awarely Learning la exercițiile pentru conducere și achiziții despre accesul furnizorilor. Articolul nu este consultanță juridică și nu garantează conformitatea.