Çin destekli devlet hackerları BeyondTrust PAM cihazına yeniden başlatmaya dayanıklı bir backdoor gizlediler

Ayrıcalıklı erişim aracısında yedi haftalık kök ayak izi

Çin destekli bir hacker grubu, yaklaşık yedi hafta boyunca BeyondTrust'ın Remote Support cihazına gizli erişim sağladı; zero-day bir açığı kullanarak root seviyesine ulaştı ve ürünün var olma amacını oluşturan kimlik kasasını boşalttı. Google'ın Threat Intelligence Group (GTIG) ve Mandiant'ın bulgularına göre — bulgular dev.to'da yayımlanan teknik bir yazıda özetlendi — saldırı 29 Ağustos 2026'da başladı ve Eylül sonuna kadar fark edilmedi; o sıralarda ilgisiz bir tedarikçi olayı, BeyondTrust içinde tehdit avı çalışması başlatılmasına yol açtı.

İlk ayak izi, cihazın dahili mesajlaşma servisindeki CVE-2026-102764 adlı, sahtecilik yoluyla kimlik doğrulama atlatma açığından geldi. CVSS v4.0 skoru 9.3 olan ve 26.2.3'e kadar desteklenen sürümleri etkileyen bu hata, kimliği doğrulanmamış bir saldırganın cihaza keyfi dosyalar yüklemesine izin veriyordu. GTIG'nin belgelediğine göre saldırganlar, açığı kullanılabilir hale getirdikten sonra yaklaşık 11 dakika içinde, belirli bir gizli parametre içermeyen her isteğe düz bir 404 dönen bir PHP webshell yüklediler — böylece imzasını önceden bilmeyen tarayıcılar hiçbir şey görmüyor.

GTIG ve Mandiant kampanyayı ARMORY CASTLE'a, daha önce UNC5221 veya Warp Panda olarak izlenen Çin destekli bir gruba atfediyor. Saldırganlar root erişimini elde ettikten sonra, kimlik kasasının tamamını çıkarmak için BeyondTrust'ın kendi bt-secrets komut satırı aracını kullandılar ve ardından çıkarma işlemini kaydedecek logları sildiler.

Yeniden başlatmaya dayanıklı kalıcılık

Bu olayı en çok ayırt eden şey kalıcılık mekanizması. Saldırganlar, BeyondTrust'ın kendi önyükleme zamanı çalıştırma dizininin içine bir başlangıç scripti yerleştirdiler. Her sistem başlangıcında bu script, sudoers yapılandırma şablonunda parolasız bir root girdisinin hâlâ var olup olmadığını kontrol ediyor, kaldırılmışsa yeniden ekliyor ve ardından cihazı canlı sudoers dosyasını bu oynanmış şablondan yeniden üretmeye zorluyor.

Pratikteki etkisi şu: elle temizlik boşunadır. Canlı sudoers dosyasını düzenleyen bir yönetici, bir sonraki yeniden başlatmadan kalıcı hiçbir şeyi değiştirmemiş olur. Mandiant'ın önerisi, yerinde düzeltmeye hiç girişmemek ve şüpheli bir cihazı bilinen iyi bir imajdan yeniden kurmaktır.

Saldırganlar ayrıca yalnızca localhost'a bağlı, cihazın kendi meşru reverse proxy'si üzerinden yönlendirilen tek bir belirsiz yolla erişilebilen özel bir SOCKS5 tünelleyici kurdular. Tünel hiçbir zaman harici bir port açmadığı için, cihazın dışarıdan yapılan bir taraması onu ortaya çıkarmaz.

Alarmlar çaldı, sonra göz ardı edildi

Tespit, araçtan çok süreç başarısızlığıydı. Yazıya göre BeyondTrust'ın kendi sensörleri, olağandışı ayrıcalık yükseltme etkinliğini gerçek zamanlı olarak işaretledi; ancak üçüncü taraf bir triyaj platformu bu alarmları neredeyse üç hafta boyunca false positive olarak değerlendirdi.

Yamalamada da boşluklar kaldı. BeyondTrust 8 Ekim'de BT26-05 düzeltmesini yayımladı ve 15 Ekim'de CVE'yi herkese açık şekilde duyurdu; fakat otomatik güncellemeleri olmayan kendi kendine barındırılan cihazlar tedarikçinin dağıtımı kapsamında değildi ve elle işlem gerektiriyordu.

Neden önemli

Bir ayrıcalıklı erişim yönetimi cihazı, kimlik bilgilerini aracılık ettiği her sistem tarafından güvenilir; bu da cihazdaki bir açığın bu güveni otomatik olarak, ek bir istismar gerektirmeden devraldığı anlamına geliyor. Mandiant'a göre bu ürün kategorisi bu şekilde birden fazla kez ihlal edildi: başka bir Çin grubu olan Silk Typhoon daha önce ABD Hazine Bakanlığı'nı ihlal etmek için iki farklı BeyondTrust zero-day açığını kullanmıştı; bu da ürün hattına karşı ikinci ayrı devlet destekli kampanya oluyor.

İki ders öne çıkıyor. Birincisi, "yamala ve yeniden başlat" bu tür bir güvenlik ihlali için geçerli bir olay müdahale planı değil — bu vakada yeniden başlatma, backdoor'u kaldırmak yerine tam olarak dayanıklılığını ortaya koyan şeydi. İkincisi, kimlik bilgilerini bir PAM aracında toplulaştırmak hâlâ parolaları tablolara ve scriptlere dağıtmaktan daha savunulabilir; ancak erişimle birlikte sonucu da merkezileştiriyor: tek bir cihaz açığı, korumakla görevlendirildiği her kimlik bilgisini açığa çıkarabilir.

Operatörlerin neleri kontrol etmesi gerekiyor

Kendi kendine barındırılan veya SaaS BeyondTrust Remote Support çalıştıran yöneticiler, BT26-05 veya sonrası bir yamada olduklarını doğrulamalı ve Ağustos sonu ile Ekim ortası arasında olağandışı ayrıcalık yükseltme alarmları üreten her cihazı temiz değil ele geçirilmiş olarak değerlendirmelidir. Ele geçirilmeden şüphelenilen durumlarda, backdoor'un dosyalarını veya sudoers girdilerini elle silmek yerine cihazı temiz bir imajdan yeniden kurun. Daha genel olarak yazı, bir ortamdaki herhangi bir tek kimlik deposunun diğer tüm sistemlere sürekli erişim taşıyıp taşımadığının ve o deponun internetten erişilebilir olup olmadığının gözden geçirilmesini öneriyor.