BeyondTrust har patchat en kritisk sårbarhet för kringgående av autentisering i produkten Remote Support (RS), efter att angripare utnyttjat den sedan slutet av augusti. Företaget uppger att aktiviteten involverade en misstänkt Kinaanknuten spionageaktör.
Sårbarheten, som spåras som CVE-2026-102764, gjorde det möjligt för obehöriga fjärrangripare att utföra filåtgärder på sårbara enheter. Den berörde RS 26.2.3 och tidigare versioner. BeyondTrust patchade SaaS-kunder för Remote Support och Privileged Remote Access den 8 oktober. Kunder med egen drift måste installera patchen manuellt om automatiska uppdateringar är avstängda.
Mandiant och Google Threat Intelligence Group spårar den misstänkta aktören som Armory Castle, tidigare UNC5221; CrowdStrike kallar den Warp Panda. Mandiant uppger att angriparna använde sårbarheten för att få åtkomst, höjde sina rättigheter till root genom att aktivera Set User ID (SUID)-behörigheter och installerade skadlig kod: webbskalet Sawfly och tunnlarverktyget Bareclaw. De raderade också loggar och använde kapade Administrator-uppgifter för att ta sig vidare i offrens nätverk.
Shadowserver spårar fler än 1 400 BeyondTrust Remote Support-instanser som är exponerade på internet, men anger inte hur många som har patchats eller är honeypots. BeyondTrust uppger att företaget har fler än 20 000 kunder världen över, däribland myndigheter och 75 % av Fortune 100-företagen.
Kommentarer
0Inga kommentarer ännu. Skriv den första.