Beveiligingsonderzoekers waarschuwen voor een BeyondTrust zero-day die werd misbruikt om Remote Support (voorheen Bomgar) op afstand over te nemen. De aanval is gekoppeld aan een China-gerelateerde spionagegroep die bekendstaat als Armory Castle (eerder o.a. UNC5221 en Warp Panda).
De kwetsbaarheid, CVE-2026-102764 (CVSS 9.3), draait om onvoldoende validatie van de herkomst van interne berichten. Daardoor kan een aanvaller, onder de juiste omstandigheden, bestandsbewerkingen uitvoeren op een getroffen appliance.
Wat is de BeyondTrust zero-day en wat kan ermee?
Volgens de melding van BeyondTrust zit het probleem in een interne berichtencomponent van Remote Support. De applicatie valideert de origin (herkomst) van ontvangen berichten onvoldoende, waardoor misbruik mogelijk wordt.
Concreet betekent dit dat een remote aanvaller in bepaalde scenario’s acties kan triggeren die neerkomen op file operations op het apparaat. Daarmee wordt de deur opengezet voor verdere compromittatie, afhankelijk van de configuratie en de aanvalsketen.
Welke groep wordt genoemd en hoe verliep de uitbuiting?
BeyondTrust geeft aan dat Armory Castle de kwetsbaarheid als zero-day zou hebben benut op een enkele self-hosted Remote Support appliance op 29 augustus 2026. Later, op 27 september 2026, zou het misbruik van nog een beveiligingsleverancier openbaar zijn geworden. Dat was voor BeyondTrust aanleiding om aanvullend onderzoek te starten.
Het is bovendien geen “eenmalige” aanpak. De groep heeft volgens de onderzoekers eerder zero-days misbruikt in omgevingen zoals Citrix NetScaler en Ivanti Connect Secure. De focus lijkt te liggen op langdurige informatieverzameling en het selectief kiezen van waardevolle doelen.
Patchadvies: dit moet je nu doen
BeyondTrust heeft fixes uitgerold naar haar Remote Support SaaS-klanten. Voor self-hosted installaties geldt een duidelijk updatepad:
- Self-hosted versies 24.3.1 t/m 26.2.3: werk handmatig bij naar de BT26-05-RS patch.
- Versies ouder dan 24.3.1: je moet upgraden naar een nieuwere versie om de fix te kunnen toepassen.
De leverancier meldt daarnaast dat patches uiterlijk 9 oktober 2026 beschikbaar waren voor SaaS-klanten. Voor self-hosted omgevingen is het belangrijk om niet te wachten: draai de update zodra de patch technisch kan worden ingepland.
Hoe leidde de aanval tot volledige overname?
Google’s Mandiant beschreef aanvullende details over de aanvalsketen. Na een succesvolle compromis zou de aanvaller een lightweight PHP web shell hebben ingezet, aangeduid als SAWFLY. Die web shell ondersteunde interactieve toegang en tweerichtings versleutelde command-and-control (C2)-communicatie.
Om de verbindingen te laten lijken op normaal verkeer, zouden commerciële VPN-exit nodes en gecompromitteerde thuis-/SOHO-routers zijn gebruikt. Vervolgens werd de web shell gebruikt als “brug” om verder te escaleren.
Privileged escalatie en persisteren
De onderzoekers noemen meerdere stappen om van aanvankelijke toegang naar volledige administratieve controle te gaan, inclusief persistente technieken die ook na herstarten blijven werken.
- Root-level controle door het kopiëren van /bin/sh naar /usr/bin/dbus-authd, eigendom aanpassen naar root en SUID inschakelen zodat het als de eigenaarrechten wordt uitgevoerd.
- Proberen credentials te verzamelen door de appliance-specifieke secrets management tooling te misbruiken met de CLI /ns/sbin/bt-secrets.
- Richt op BeyondTrust configuratiesjablonen om passwordless root-privileges te krijgen voor de site service account.
Pivot naar interne systemen
Een kenmerkend onderdeel van de dreigingsketen is de stap van controle op de appliance naar toegang tot downstream omgevingen. De aanvaller zou daarnaast:
- naar de Remote Support applicatie zijn “gepivot” met gecompromitteerde beheerdersreferenties, om recon en remote sessions op te starten via de Jump Item-lijst;
- elevated privileges gebruiken om remote support sessies te openen naar interne endpoints, met als doel bestanden te downloaden en te exfiltreren voor netwerkverkenning;
- tunneling toepassen met BARECLAW, een SOCKS5 proxy-tunneler (C-based) die TCP-verbindingen doorstuurt;
- /ns/config/haproxy.conf wijzigen zodat BARECLAW rechtstreeks via het internet bereikbaar wordt;
- pogingen doen om detectie te frustreren door systematisch logs op systeem-, webserver- en applicatieniveau te verwijderen.
Waarom je “nog niet gepatcht” serieus moet nemen
De waarschuwing is expliciet: elk apparaat dat tijdens het uitbuitvenster kwetsbaar was en vanuit het internet bereikbaar, moet worden behandeld als mogelijk gecompromitteerd tot er review is uitgevoerd.
Met andere woorden: “we hebben geen melding gekregen” is geen voldoende reden om niet te onderzoeken. De aanvalsketen is gericht op langdurige toegang, credential theft en het bewegen door interne systemen.
Snelle checklist voor IT- en securityteams
Heb je Remote Support in gebruik? Overweeg dan de volgende praktische stappen.
- Check je versie: val je self-hosted installatie in 24.3.1–26.2.3 of zit je lager?
- Update volgens patchadvies: BT26-05-RS voor de genoemde range, anders upgraden naar een versie die de fix kan dragen.
- Beoordeel internet-blootstelling: als het systeem direct benaderbaar was tijdens het window, verhoog dan je prioriteit voor forensisch onderzoek.
- Onderzoek tekenen van post-exploit gedrag, zoals configuratiewijzigingen (o.a. haproxy), web shell-activiteit en sporen rond secrets/CLI-gebruik.
- Controleer logging: doordat logs doelbewust verwijderd kunnen zijn, kan een gebrek aan logs juist een aanwijzing zijn.
Als je team vaker tegen “remote support als pivot”-scenario’s aanloopt, kan ook deze achtergrond helpen: Contextuele cyberdefensie: van losse meldingen naar actie. Dat ondersteunt je bij het vertalen van signalen naar concrete acties.
Vergelijkbare aanpakken: waarom het patroon belangrijk is
De beschreven keten past in een breder patroon: een aanvaller start bij een kwetsbaarheid, bouwt toegang om naar controle op een beheerplatform en gebruikt dat vervolgens om intern verder te bewegen. Dit lijkt ook op eerdere incidenten waarbij aanvallers via kwetsbaarheden in netwerk- en servicecomponenten hun weg vinden naar lateraal bereik.
Ter vergelijking met een ander recente voorbeeld van misbruik en focus op snelle aanpak, kun je ook kijken naar: Cisco Secure Email Gateway: actief misbruik van kritieke bug. Hoewel het domein verschilt, is de praktische “actief misbruik → snel patchen en scope bepalen”-les hetzelfde.
Conclusie
De meldingen rond BeyondTrust zero-day (CVE-2026-102764) laten zien hoe een kwetsbaarheid in interne berichtvalidatie kan uitgroeien tot een volledige compromittatie van Remote Support. De combinatie van web shell C2, privilege-escalatie, credential theft en pivoting naar interne endpoints maakt dit voor veel organisaties een hoog tot kritiek risico.
De beste volgende stap is helder: update je Remote Support omgeving volgens het patchadvies en beoordeel elk exposure-beeld tijdens het uitbuitvenster alsof het systeem mogelijk is aangetast.
Bron: https://thehackernews.com/2026/10/china-linked-hackers-exploited.html
