Armory Castle, BeyondTrust Remote Support'taki sıfırıncı gün açığını kullanarak root aldı ve下游a geçti

Çin bağlantılı casusluk grubu Armory Castle (daha önce UNC5221 ve Warp Panda olarak izleniyordu), dev.to üzerinde yeniden yayınlanan bir RedEye Security analizine göre, BeyondTrust Remote Support'taki daha önce bilinmeyen bir açığı kullanarak cihazlarda root aldı, saklanan kimlik bilgilerini topladı ve bu cihazların yönetmek için tasarlandığı sistemlere uzak oturumlar açtı.

CVE-2026-102764 numaralı zafiyetin CVSS puanı 9.3. BeyondTrust, dahili bir mesajlaşma bileşeninin gelen mesajların kaynağını düzgün doğrulamadığını ve belirli koşullar altında bunun cihaz üzerinde dosya işlemlerine olanak tanıdığını — saldırgan için kod yürütmeye bir adım — söyledi. Doğrulanan ilk istismar 29 Ağustos 2026'da kendi kendine barındırılan bir cihaza yapıldı. Tedarikçi, SaaS kiracılarının yamasını yaklaşık altı hafta sonra, 9 Ekim'de tamamladı ve uyarısını 15 Ekim'de yayınladı.

Sızma zinciri

Google Threat Intelligence Group ve Mandiant, ilk erişimin ardından yaşananları belgeledi. Saldırgan, ticari VPN çıkış noktaları üzerinden bağlandı ve ev ve küçük ofis yönlendiricilerini ele geçirerek trafiği rutin gösterdi; ardından etkileşimli erişim ve şifreli çift yönlü komut ve kontrol sunan hafif bir PHP web shell'i olan SAWFLY'ı dağıttı.

Sömürü sonrası çalışma, ürüne alışılmadık düzeyde aşinalık gösterdi. Saldırgan, /bin/sh dosyasını SUID biti atanmış halde /usr/bin/dbus-authd adına kopyalayarak — meşru bir sistem servisine benzeyen bir dosya adı — root shell elde etti ve tescilli /ns/sbin/bt-secrets aracıyla cihazın yerel secrets deposundan parolaları, API anahtarlarını ve uç nokta kimlik bilgilerini çekti. BeyondTrust yapılandırma şablonları, site servis hesabına parolasız root erişimi vermek için kötüye kullanıldı.

Cihazdan alınan yönetici kimlik bilgileriyle grup Remote Support'a giriş yaptı, keşif çalıştırdı ve ürünün Jump Item listesindeki aşağı akış sistemlerine oturumlar açarak o uç noktaların dosya sistemlerine tam erişim sağladı ve ağ haritalandırması için dahili belgeleri dışarı sızdırdı. Kalıcı erişim için C ile yazılmış özel bir SOCKS5 proxy tünelleyicisi olan BARECLAW'ı dağıttılar ve internetten doğrudan erişilebilmesi için /ns/config/haproxy.conf dosyasını düzenlediler. Ardından sistem, web sunucusu ve uygulama kayıtları sistematik olarak silindi.

Dolaylı bir keşif

BeyondTrust'un zaman çizelgesine göre tedarikçi, 27 Eylül 2026'da başka bir güvenlik cihazı tedarikçisindeki istismarın kamuoyuna duyurulmasının ardından araştırma başlattı. Bu araştırma 29 Ağustos'taki sızmayı ortaya çıkardı; yani cihaz, tedarikçinin haberdar olmasından yaklaşık bir ay önce ele geçirilmişti ve yama dağıtımı da yaklaşık iki hafta daha sürdü.

Yinelenen bir örüntü

Armory Castle en az Ekim 2023'ten beri aktif; daha önce Citrix NetScaler (CVE-2023-4966) ve Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 ve CVE-2025-0282) karşı sıfırıncı gün kampanyaları yürüttü. Kurbanları arasında hukuk hizmeti firmaları, SaaS sağlayıcıları, iş süreci dış kaynak sağlayıcıları, teknoloji şirketleri ve hükümetler bulunuyor; amaç ise aksatma yaratmak değil zamanla istihbarat toplamak. BeyondTrust, sıfırıncı gün açığının seçili hedeflere karşı seçici biçimde kullanılması ve açık kamuoyuna duyurulduktan sonra yamasız her örnek geniş çaplı istismara geçilmesi örüntüsünü tanımladı. Tedarikçi ayrıca, aktörün istismar geliştirmeyi hızlandırmak için her hedef ürünün bir yapay zekâ bağlamında modelini tuttuğuna dair güncel değerlendirmesinin bu olduğunu, ancak bunun tedarikçinin kendi değerlendirmesi olarak kaldığını belirtti.

Yamalayın ve soruşturun

SaaS müşterileri 9 Ekim 2026'ya kadar otomatik olarak düzeltildi. 24.3.1 ile 26.2.3 arası sürümlerdeki kendi kendine barındırılan dağıtımlar BT26-05-RS yamasını elle uygulamalı; 24.3.1'den eski her şey ise düzeltme kurulmadan önce desteklenen bir sürüme yükseltilmelidir.

Mandiant'ın önerisi, istismar penceresi boyunca internette erişilebilen ve savunmasız sürümde çalışan herhangi bir cihazın, incelenene kadar ele geçirilmiş olabilecek şekilde ele alınması: grubun kalıcılığı yeniden başlatmalardan sonra da hayatta kalıyor, dolayısıyla yamalanmış bir cihaz hâlâ SAWFLY shell'ini, SUID arka kapısını veya BARECLAW tünelleyicisini barındırıyor olabilir. Yayınlanan göstergeler arasında /usr/bin/dbus-authd dosyası, /ns/config/haproxy.conf dosyasındaki açıklanamayan değişiklikler, bt-secrets'ın normal yönetim dışında kullanımı ve cihaz kayıtlarındaki boşluklar yer alıyor. Pencere boyunca açıkta olan bir cihazda saklanan her kimlik bilgisi, aşağı akış Jump Item sistemlerine ait olanlar dahil, kaybedilmiş sayılmalıdır.

Neden önemli

Bir uzak destek cihazına her şeye erişme yetkisi verilir — sunucular, iş istasyonları, ağ donanımı ve yönetilen servis sağlayıcıları ile dış kaynak sağlayıcıları için tüm müşteri ortamları. Cihazda root'u ve uygulamada yönetici hakları olan bir saldırganın geleneksel yatay harekete ihtiyacı yoktur; ürünü tasarlandığı gibi, çoğu izleme aracına sıradan destek işi gibi görünen oturumlar üzerinden kullanabilir. CVE ve yama artık kamuoyuna açık olduğundan ve grubun ifşadan sonra toplu istismar geçmişi göz önüne alındığında, yamasız ve internete bakan her Remote Support örneği hedef olarak varsayılmalıdır. Ağustos sonundan yama tarihine kadar açıkta bir örnek çalıştırmış kuruluşlar için yapılması gereken yalnızca bir yama bileti değil, bir ele geçirilme incelemesidir.