BeyondTrust ha corregido una vulnerabilidad crítica que permitía eludir la autenticación en su producto Remote Support (RS), después de que atacantes la explotaran desde finales de agosto. La empresa indicó que la actividad involucró a un actor de espionaje presuntamente vinculado a China.
La vulnerabilidad, identificada como CVE-2026-102764, permitía a atacantes remotos no autenticados realizar operaciones con archivos en dispositivos vulnerables. Afectaba a RS 26.2.3 y versiones anteriores. BeyondTrust aplicó la corrección a los clientes de Remote Support y Privileged Remote Access SaaS el 8 de octubre. Los clientes con instalaciones propias deben aplicar el parche manualmente si las actualizaciones automáticas están desactivadas.
Mandiant y Google Threat Intelligence Group identifican al actor sospechoso como Armory Castle, anteriormente UNC5221; CrowdStrike lo llama Warp Panda. Mandiant afirmó que los atacantes aprovecharon la vulnerabilidad para obtener acceso, elevaron sus privilegios a root al habilitar permisos Set User ID (SUID) e instalaron el web shell Sawfly y el malware de tunelización Bareclaw. También borraron registros y usaron credenciales Administrator comprometidas para avanzar por las redes de las víctimas.
Shadowserver rastrea más de 1.400 instancias de BeyondTrust Remote Support expuestas en internet, pero no especifica cuántas están parcheadas ni cuántas son honeypots. BeyondTrust afirma que presta servicios a más de 20.000 clientes en todo el mundo, entre ellos organismos gubernamentales y el 75 % de las empresas Fortune 100.
Comentarios
0Aún no hay comentarios. Escribe el primero.