BeyondTrust, saldırganların ağustos sonundan beri istismar ettiği Remote Support (RS) ürünündeki kritik bir kimlik doğrulama atlatma açığını yamaladı. Şirket, saldırıların Çin bağlantılı olduğundan şüphelenilen bir casusluk aktörünü içerdiğini söyledi.
CVE-2026-102764 olarak izlenen açık, kimliği doğrulanmamış uzaktaki saldırganların savunmasız cihazlarda dosya işlemleri yapmasına olanak tanıyordu. Açık, RS 26.2.3 ve önceki sürümleri etkiledi. BeyondTrust, Remote Support ve Privileged Remote Access SaaS müşterileri için yamayı 8 Ekim'de yayımladı. Otomatik güncellemeleri kapalı olan, kendi sunucularında barındırılan sistemlerde yamayı müşterilerin elle uygulaması gerekiyor.
Mandiant ve Google Threat Intelligence Group, şüpheli aktörü Armory Castle, eski adıyla UNC5221 olarak izliyor; CrowdStrike ise Warp Panda adını kullanıyor. Mandiant, saldırganların açıkla erişim sağladığını, Set User ID (SUID) izinlerini etkinleştirerek root ayrıcalıklarına yükseldiğini ve Sawfly web kabuğu ile Bareclaw tünelleme zararlı yazılımını dağıttığını söyledi. Saldırganlar ayrıca günlükleri sildi ve kurban ağlarında ilerlemek için ele geçirilmiş Administrator kimlik bilgilerini kullandı.
Shadowserver, internete açık 1.400'den fazla BeyondTrust Remote Support örneğini takip ediyor; ancak bunların kaçının yamalandığını veya tuzak sistem olduğunu belirtmiyor. BeyondTrust, devlet kurumları ve Fortune 100 şirketlerinin %75'i dâhil dünya çapında 20.000'den fazla müşteriye hizmet verdiğini söylüyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.