Nhóm hacker liên kết với Trung Quốc khai thác lỗ hổng Zero-day trên BeyondTrust Remote Support

Nhóm tin tặc chuyên về gián điệp mạng có liên kết với Trung Quốc, được biết đến với tên gọi Armory Castle (trước đây là UNC5221 hoặc Warp Panda), đã bị phát hiện khai thác một lỗ hổng bảo mật mới trên BeyondTrust Remote Support (trước đây là Bomgar) dưới dạng zero-day vào cuối tháng 8 năm 2026.

Lỗ hổng này được định danh là CVE-2026-102764 với điểm CVSS lên tới 9.3. Nguyên nhân gốc rễ nằm ở việc xác thực nguồn gốc không đầy đủ trong một thành phần nhắn tin nội bộ, cho phép kẻ tấn công từ xa thực hiện các thao tác tệp tin trên thiết bị bị ảnh hưởng.

Chi tiết về cuộc tấn công

Theo báo cáo từ BeyondTrust và Google Mandiant, sau khi xâm nhập thành công, nhóm Armory Castle triển khai một web shell PHP nhẹ có tên là SAWFLY để duy trì quyền truy cập từ xa và thiết lập kênh điều khiển (C2) được mã hóa hai chiều. Kẻ tấn công thường sử dụng các node VPN thương mại và các bộ định tuyến gia đình/văn phòng nhỏ bị chiếm quyền để ngụy trang lưu lượng truy cập, từ đó leo thang đặc quyền và chiếm quyền quản trị cao nhất trên thiết bị.

Các hành vi hậu khai thác (post-exploitation) đáng chú ý bao gồm:

• Leo thang đặc quyền: Chiếm quyền root bằng cách sửa đổi tệp thực thi hệ thống và thiết lập quyền SUID.
• Đánh cắp thông tin: Truy cập trực tiếp vào cơ sở dữ liệu quản lý bí mật của thiết bị để lấy mật khẩu, API key và thông tin xác thực của endpoint.
• Di chuyển ngang (Lateral Movement): Sử dụng thông tin quản trị thu thập được để truy cập vào các hệ thống hạ nguồn thông qua danh sách Jump Item.
• Duy trì sự hiện diện: Sử dụng công cụ proxy SOCKS5 tùy chỉnh có tên BARECLAW để tunneling lưu lượng truy cập và xóa dấu vết log hệ thống để tránh bị phát hiện.

Khuyến nghị bảo mật

BeyondTrust đã phát hành bản vá cho tất cả khách hàng sử dụng dịch vụ SaaS từ ngày 9 tháng 10 năm 2026. Đối với khách hàng tự lưu trữ (self-hosted) đang sử dụng các phiên bản từ 24.3.1 đến 26.2.3, nhà sản xuất khuyến cáo cần cập nhật thủ công lên bản vá BT26-05-RS ngay lập tức. Các phiên bản cũ hơn 24.3.1 cần được nâng cấp lên phiên bản mới hơn để áp dụng bản sửa lỗi.

Các chuyên gia từ Google Threat Intelligence Group (GTIG) nhấn mạnh rằng bất kỳ thiết bị nào có thể truy cập từ internet và đang chạy phiên bản cũ đều cần được xem xét như đã bị xâm nhập cho đến khi được kiểm tra kỹ lưỡng.

Nguồn tham khảo: The Hacker News