A BeyondTrust Remote Support kritikus sérülékenysége lehetővé tette feltételezett kínai kiberkémek számára, hogy átvegyék az irányítást távoli hozzáférési rendszerek felett, tárolt hitelesítő adatokat keressenek és belső vállalati rendszereket érjenek el. A gyártó frissített közlése két érintett ügyfelet azonosít, és azt is feltárja, hogy az automatikus biztonsági értékelés kezdetben téves riasztásnak minősítette a behatolás jeleit.
Egy feltételezett kínai kötődésű kiberkémkedési csoport a BeyondTrust Remote Support korábban ismeretlen sérülékenységét használta ki távoli hozzáférési infrastruktúrák kompromittálására. A támadók ezt követően a rendszerek meglévő, megbízhatónak tekintett kapcsolatait használták fel a belső vállalati környezet felderítésére.
Az Armory Castle néven azonosított csoport tevékenysége 2026 augusztusának végén kezdődött. A Mandiant korábban UNC5221 néven követte a szereplőt, amelyet a BeyondTrust a CrowdStrike Warp Panda elnevezésével is összefüggésbe hoz. A támadásban egy internet felől elérhető rendszer kihasználása saját fejlesztésű kártevőkkel, jogosultságemeléssel, hitelesítő adatok megszerzésére irányuló kísérletekkel és tudatos naplótörléssel kapcsolódott össze.
A CVE-2026-102764 azonosítójú sérülékenység kritikus, 9,3 pontos CVSS v4 besorolást kapott. Az érintett belső üzenetkezelő komponens nem ellenőrizte megfelelően a beérkező üzenetek eredetét, így egy támadó jogosulatlan fájlműveleteket hajthatott végre. A BeyondTrust biztonsági közleménye a Remote Support 26.2.3-as és korábbi verzióit sorolja az érintett kiadások közé. BeyondTrust biztonsági közlemény
Az eset megmutatja, milyen következményekkel járhat egy olyan infrastruktúra kompromittálása, amelynek feladata eleve a kiemelt jogosultságú hozzáférés biztosítása. A távoli támogatási platform feletti ellenőrzés megszerzése után a támadók annak belső végpontokhoz fűződő kapcsolatait is felhasználhatják, így egy legitim adminisztrációs szolgáltatás a kémkedés eszközévé válhat.
A frissített közlés két érintett ügyfelet azonosít
A BeyondTrust október 16-án frissített beszámolója két ismert érintett ügyfelet nevez meg: az egyik a vállalat által üzemeltetett Remote Support-példányt használt, a másik saját üzemeltetésű rendszert működtetett.
A gyártó augusztus 29-re teszi a sérülékenység kihasználását. Az október 16-i frissítés szerint nem talált bizonyítékot augusztust követő további támadói tevékenységre. Az ismert áldozatok száma ugyanakkor nem azonos az összes, korábban sérülékeny állapotban működő rendszer számával. BeyondTrust incidensbeszámoló
A saját kitettségüket vizsgáló szervezetek számára alapvető különbség van a sérülékeny telepítés és az igazolt behatolás között. Egy érintett verzió használata önmagában nem bizonyítja, hogy támadó jutott be a rendszerbe. Ugyanakkor a javítás telepítése sem igazolja, hogy a frissítés előtt nem történt kompromittálódás.
A vizsgálatnak ezért a sérülékenység megszüntetésén túl arra is ki kell terjednie, hogy a támadók visszaéltek-e a platform adminisztrátori fiókjaival, tárolt titkaival vagy a belső rendszerekhez biztosított kapcsolataival.
Kritikus gyengeség egy megbízható adminisztrációs platformban
A korábban Bomgar néven ismert BeyondTrust Remote Support lehetővé teszi az informatikai csapatok számára a távoli végpontok hibaelhárítását és felügyeletét. A támogatási folyamatokban elfoglalt központi szerepe miatt vonzó célpont azoknak a támadóknak, akik egyetlen kiindulóponton keresztül több rendszerhez szeretnének hozzáférni.
A feltárt sérülékenység a belső üzenetek eredetének elégtelen ellenőrzéséből fakad. Gyakorlati értelemben egy komponens nem választotta el megfelelően azokat az üzeneteket, amelyekben megbízhatott, azoktól, amelyek feldolgozását egy támadó idézhette elő.
A gyártó jogosulatlan fájlműveletekként írja le az ebből eredő lehetőséget. A vizsgált behatolás során további lépések alakították át a kezdeti hozzáférést szélesebb körű adminisztratív ellenőrzéssé. A sérülékenység biztosította a belépési pontot, míg a támadók termékismerete segítette a hozzáférés kiterjesztését és fenntartását.
A BeyondTrust közlése szerint október 9-ig valamennyi Remote Support SaaS-ügyfél megkapta a javítást. Saját üzemeltetés esetén a BT26-05-RS javítócsomag a 24.3.1 és 26.2.3 közötti verziókhoz alkalmazható. A régebbi kiadásokat használó ügyfeleknek előbb olyan verzióra kell frissíteniük, amelyre a javítás telepíthető. Az adminisztrátoroknak ellenőrizniük kell a tényleges telepítést; az automatikus frissítés engedélyezése önmagában nem bizonyítja annak sikeres befejezését.
A vállalat a Privileged Remote Access frissítését is javasolja a közösen használt kódrészek miatt. Egyúttal hangsúlyozza, hogy belső tesztjei során ebben a termékben nem sikerült demonstrálni a sérülékenység kihasználását. Javítási feltételek és termékérintettség
A kezdeti hozzáféréstől a tartós rendszerirányításig
A vizsgálat összehangolt tevékenységsorozatot tárt fel a kezdeti behatolást követően.
A támadók telepítették a SAWFLY nevű, kis méretű PHP-webshellt, amely interaktív távoli vezérlésre és titkosított, kétirányú parancs- és vezérlési kommunikációra szolgált.
A webshell lehetővé teszi, hogy a behatoló a kompromittált kiszolgáló webes működésén keresztül adjon ki utasításokat. Ebben az esetben összekötötte a kezdeti sérülékenység kihasználását a rendszer további módosításával.
A támadók ezután root szintű hozzáférést szereztek, konfigurációs sablonokat módosítottak, és újraindítást túlélő hozzáférést alakítottak ki. Tevékenységük részeként szokatlan helyre másoltak egy rendszer-parancsértelmezőt, majd úgy változtatták meg annak tulajdonosát és jogosultságait, hogy az emelt jogosultságú végrehajtást támogassa.
A biztonsági jelentőség abban áll, hogy egyetlen alkalmazáskomponens kihasználásától eljutottak az alapul szolgáló rendszer irányításáig. A root jogosultság lehetővé teheti a fájlok módosítását, a biztonsági nyilvántartások manipulálását és a szolgáltatások működésének megváltoztatását.
A tartós hozzáférés a helyreállítást is megnehezíti. Az újraindítás megszakíthat egy rosszindulatú folyamatot, de nem feltétlenül távolítja el azokat a módosításokat, amelyek a következő rendszerindításkor ismét biztosítják a jogosulatlan hozzáférést.
A Mandiant és a Google Threat Intelligence Group technikai elemzése a nyilvánosságra hozatalt követő szélesebb körű kihasználás lehetőségére is figyelmeztet. Ez a jövőbeli kockázatra vonatkozó értékelés, nem annak megerősítése, hogy már tömeges támadások történtek. Mandiant és GTIG: az Armory Castle támadása
A tárolt hitelesítő adatok kiemelt célponttá váltak
A támadók érdeklődése túlmutatott a rendszer feletti ellenőrzés megszerzésén.
A behatolás során megpróbáltak hitelesítő adatokat kinyerni a platform saját titokkezelő funkciójából. Ehhez egy BeyondTrust-segédprogramot használtak, hogy hozzáférjenek például jelszavakhoz, API-kulcsokhoz és végpontokhoz tartozó hitelesítő adatokhoz.
Ez a privilegizált hozzáférést biztosító infrastruktúrák elleni támadások különösen súlyos eleme. Az ilyen platformok más rendszerek elérését lehetővé tevő adatokat tárolhatnak vagy közvetíthetnek. Ha ezek illetéktelen kézbe kerülnek, a kockázat az eredeti sérülékenység megszüntetése után is fennmaradhat.
A nyilvános beszámoló hitelesítő adatok megszerzésére irányuló kísérleteket ír le, de nem ad teljes leltárt a sikeresen kinyert titkokról. Az incidenskezelőknek ezért meg kell állapítaniuk, mit tárolt az érintett rendszer, milyen hitelesítő adatokat használhatott, és megjelent-e az ezekhez tartozó fiókok tevékenysége más rendszereken a behatolás alatt vagy azt követően.
A rendszer helyreállítása és a hozzáférések biztonságának visszaállítása külön feladat. A jogosulatlan szoftver eltávolítása az egyik hozzáférési lehetőséget szünteti meg; a kiszivárgott hitelesítő adatok érvénytelenítése egy másikat.
A kizárólag a kompromittált kiszolgálóra összpontosító válaszlépések működő fiókokat vagy tokeneket hagyhatnak a támadóknál a környezet más részein.
A legitim támogatási munkamenetek belső rendszerekhez vezettek
A támadók kompromittált adminisztrátori hitelesítő adatokkal használták a Remote Support alkalmazást, és felderítették a Jump Item listán keresztül elérhető rendszereket.
Ezek az előre beállított kapcsolatok leegyszerűsítik a felügyelt végpontok elérését a támogatási csapatok számára. Az alkalmazást irányító támadónak azonban azt is megmutathatják, milyen rendszerek állnak rendelkezésre, és közvetlen hozzáférési lehetőséget kínálhatnak a belső hálózathoz.
A megfigyelt tevékenység része volt távoli támogatási munkamenetek indítása, fájlrendszer-hozzáférés megszerzése és érzékeny belső dokumentumok letöltése további felderítés céljából.
Ez észlelési nehézséget teremt: egy jogosulatlan munkamenet legitim szoftveren és meglévő adminisztrátori fiókon keresztül is indulhat. Az ismert támogatási eszköz használata nem bizonyítja, hogy a hozzáférést jóváhagyták.
A vizsgálóknak a körülményeket is értékelniük kell: ki indította a munkamenetet, melyik végpontot választotta, indokolta-e támogatási kérés a hozzáférést, és milyen fájlokat értek el vagy továbbítottak.
A nyilvános beszámoló nem állítja, hogy minden elérhető végpont kompromittálódott. Azt viszont megmutatja, miért kell a vizsgálatnak a támogatási platformon keresztül elért rendszerekre is kiterjednie.
Egyedi alagúteszköz és naplótörlés nehezítette az észlelést
A támadók a BARECLAW nevű, C nyelven írt egyedi SOCKS5-proxyeszközt is telepítették, amellyel forgalmat továbbítottak a kompromittált BeyondTrust-rendszeren keresztül.
Egy ilyen proxy lehetővé teheti, hogy egy külső szereplő olyan célpontokkal kommunikáljon, amelyeket maga a rendszer elér. Értékét a támadó számára az eszköz hálózati elhelyezkedése adja: a kívülről közvetlenül nem elérhető rendszerek a kompromittált gépen keresztül hozzáférhetővé válhatnak.
A támadók a fordított proxy konfigurációját is módosították, hogy az alagútkapcsolat az internetről elérhető legyen.
Saját eredetük elfedésére kereskedelmi VPN-szolgáltatásokat és kompromittált otthoni vagy kis irodai routereket használtak. Ez megnehezíti a rosszindulatú tevékenység felismerését pusztán a kapcsolatok földrajzi eredete vagy a nyilvánvalóan gyanús tárhelyszolgáltatók alapján.
Rendszer-, webszerver- és alkalmazásnaplókat is töröltek. Ezzel a kezdeti kompromittálódás és a legitim adminisztrációs funkciók későbbi használatának nyomait egyaránt elrejthették.
A védőknek ezért óvatosan kell értelmezniük a helyi naplóbejegyzések hiányát. Egy korábban támadói ellenőrzés alatt álló eszköz nem feltétlenül őrzi meg saját működésének teljes és megbízható történetét.
Az automatikus értékelés elutasította a behatolás riasztásait
A BeyondTrust frissített közlése egy külön észlelési hiányosságot is feltárt: a szenzorok riasztottak a jogosultságemelés során, de egy külső platform automatikus értékelése téves pozitív jelzésként zárta le ezeket.
A szolgáltató által üzemeltetett érintett példányt egy későbbi, szeptember 28-i célzott fenyegetéskeresés azonosította. A BeyondTrust szerint az észleléstől számított 27 percen belül megtették a behatolás megfékezéséhez szükséges lépéseket. BeyondTrust: az észlelés és a reagálás részletei
Az eset tágabb tanulsága, hogy egy riasztás előállítása és az arra adott hatékony válasz két külön képesség. A szenzorok megfelelő működése mellett is észrevétlen maradhat egy behatolás, ha a későbbi folyamatok elnyomják, leértékelik vagy lezárják a keletkező bizonyítékokat.
A biztonsági vezetőknek ezért azt is vizsgálniuk kell, milyen riasztásokat utasíthat el az automatizálás emberi felülvizsgálat nélkül, és hogyan ellenőrzik újra ezeket a döntéseket új fenyegetési információk megjelenésekor.
A célzott fenyegetéskeresés ebben azzal segíthet, hogy a rögzített viselkedést az eredeti riasztásértékeléstől függetlenül elemzi.
A hálózati peremeszközök régóta a csoport célpontjai
A BeyondTrust-incidens illeszkedik az UNC5221-ről szóló korábbi jelentésekben kirajzolódó mintához: a csoport ismételten olyan eszközöket támadott, amelyek külső felhasználókat kapcsolnak belső szolgáltatásokhoz.
A Mandiant egy 2025 áprilisában közzétett vizsgálatban a csoporthoz kötötte az Ivanti Connect Secure CVE-2025-22457 sérülékenységének kihasználását.
Az eset azt mutatta, hogy a támadók képesek voltak újraértékelni egy kezdetben korlátozottabbnak tekintett gyengeséget. A javítás 2025 februárjában jelent meg. A Mandiant értékelése szerint a támadók valószínűleg tanulmányozták azt, és megállapították, hogyan érhetnek el távoli kódfuttatást a még nem frissített rendszereken. A megfigyelt kihasználás március közepén kezdődött.
Ugyanez a jelentés egyedi kártevőket és az integritásellenőrzés megzavarására irányuló kísérleteket is dokumentált. A csoportot korábbi Ivanti-sérülékenységekhez és a NetScaler-eszközöket érintő CVE-2023-4966 hibához is kapcsolta. Mandiant: az Ivanti-sérülékenység kihasználásának vizsgálata
Ez az előzmény segít megérteni a BeyondTrust-közlés jelentőségét. Egy olyan csoport, amely rendszeresen vizsgálja az eszközök belső működését és ehhez igazítja eszközeit, kihasználhatja a javítás megjelenése és tényleges telepítése közötti időszakot.
A kitettség így egyszerre technikai és működési kérdés: a sérülékeny szoftver megteremti a lehetőséget, a késedelmes frissítés és a korlátozott megfigyelhetőség pedig meghosszabbíthatja annak kihasználhatóságát.
Az AI-támogatás feltételezése továbbra sem bizonyított
A BeyondTrust azt a lehetőséget is felvetette, hogy a támadók mesterséges intelligenciával támogatott modelleket tartanak fenn a célba vett termékekről, és ezek segítségével fejlesztenek támadási láncokat.
A vállalat ugyanakkor kifejezetten közölte, hogy nem rendelkezik ilyen eszközök használatát igazoló forenzikus bizonyítékkal. A feltételezés alapja a támadók gyorsasága és részletes termékismerete. BeyondTrust: az AI-használatra vonatkozó értékelés
Ez lényeges különbség. Az összetett támadói viselkedés megalapozhat egy vizsgálati hipotézist, de önmagában nem bizonyítja, milyen fejlesztőeszközöket használtak.
Az incidens igazolt jelentősége nem függ az AI szerepének bizonyításától. A dokumentált támadás így is megmutatja annak kockázatát, amikor egy szereplő a fájlműveleteket lehetővé tevő hibától eljut a kiemelt jogosultságú ellenőrzésig, a hitelesítő adatok eléréséig és a belső rendszerek felderítéséig.
Mit kell előtérbe helyezniük a szervezeteknek?
Az érintett infrastruktúrát működtető szervezeteknek a sürgős javítást a korábbi tevékenység vizsgálatával kell összekapcsolniuk.
A dokumentált támadási folyamat alapján a következő feladatok élveznek elsőbbséget:
- A javítás állapotának ellenőrzése. Fel kell mérni a telepített rendszereket, a futó verziókat és azt, hogy a szükséges javítás ténylegesen megtörtént-e.
- A korábbi kitettség vizsgálata. Át kell tekinteni azt az időszakot, amikor a sérülékeny rendszerek elérhetők voltak, beleértve a nyilvános közlést megelőző eseményeket is.
- A kiemelt jogosultsággal végrehajtott változtatások ellenőrzése. Vizsgálni kell a váratlan fájlokat, módosult jogosultságokat, konfigurációs eltéréseket és ismeretlen adminisztrátori tevékenységet.
- A távoli támogatási munkamenetek felülvizsgálata. A belső végpontokhoz történő hozzáférést össze kell vetni az engedélyezett adminisztrátorokkal, támogatási kérésekkel és elvárt üzleti működéssel.
- A hitelesítő adatok kitettségének értékelése. Azonosítani kell a kompromittált rendszer számára hozzáférhető titkokat, és igazolt vagy megalapozottan feltételezett kompromittálódás esetén összehangoltan vissza kell vonni vagy le kell cserélni őket.
- A független bizonyítékok megőrzése. A központilag tárolt hálózati, hitelesítési és végponti adatokkal ki kell egészíteni az esetleg törölt vagy manipulált helyi naplókat.
- A helyreállítás kiterjesztése a további elért rendszerekre. Meg kell állapítani, maradtak-e jogosulatlan munkamenetek, fiókok vagy tartós hozzáférési lehetőségek a támogatási platformon keresztül elért környezetben.
A hitelesítő adatok cseréjének sorrendje is számít. A Mandiant arra figyelmeztet, hogy ezt a rendszer javítása vagy biztonságos újraépítése után kell végrehajtani, különben a továbbra is hozzáféréssel rendelkező támadó az új adatokat is megszerezheti. Mandiant: helyreállítási és megerősítési útmutatás
Vezetői szempontból a központi kérdés a hozzáférések koncentrációja. Egy távoli támogatási rendszer egyetlen helyen egyesítheti a kiemelt jogosultságú hitelesítő adatokat, az adminisztrációs funkciókat és számos belső rendszer elérését.
A BeyondTrust elleni behatolás megmutatja, hogyan válhat egy szűken leírható szoftversérülékenység sokkal szélesebb biztonsági incidenssé. A hatékony helyreállításhoz azt is igazolni kell, hogy a belépési pont lezárása mellett a rajta keresztül megszerzett hozzáféréseket is megszüntették.
Eredeti cím: China-Linked Hackers Turn BeyondTrust Zero-Day Into Gateway for Corporate Espionage
