وصله های BeyondTrust در روز صفر که از ماه اوت در حملات مورد سوء استفاده قرار می گیرند

BeyondTrust روز پنجشنبه به مشتریان هشدار داد که یک نقص مهم در پشتیبانی از راه دور (RS) خود را که از اواخر ماه اوت در حملات روز صفر مورد سوء استفاده قرار گرفته است، برطرف کنند.

پشتیبانی از راه دور راه حل پشتیبانی در سطح سازمانی این شرکت است که به میزهای خدمات فناوری اطلاعات، میزهای کمک و تیم های پشتیبانی مشتری کمک می کند مشکلات را از راه دور عیب یابی کنند.

این آسیب‌پذیری دور زدن احراز هویت که به‌عنوان CVE-2026-102764 ردیابی می‌شود، به مهاجمان راه دور غیرمجاز اجازه می‌دهد عملیات فایل را روی دستگاه‌های وصله‌نشده انجام دهند و RS 26.2.3 یا نسخه‌های قبلی را تحت تأثیر قرار دهد. BeyondTrust مشکل امنیتی را برای همه مشتریان Remote Support و Privileged Remote Access SaaS در 8 اکتبر وصله کرد، اما اگر به‌روزرسانی‌های خودکار فعال نباشد، نصب‌های خود میزبان باید به‌صورت دستی وصله شوند.

در حالی که این شرکت جزئیات محدودی را در مورد این آسیب‌پذیری به اشتراک گذاشت، اعلام کرد که روز صفر در طبیعت توسط یک بازیگر مظنون جاسوسی چین-nexus که توسط محققان امنیتی Mandiant و Google Threat Intelligence Group (GTIG) تحت عنوان «قلعه اسلحه‌خانه» (UNC5221 سابق) و توسط امنیت سایبری PaStrikenda به‌عنوان شرکت امنیتی «Crowar» ردیابی شده است، مورد سوء استفاده قرار گرفته است.

به گفته محققان Mandiant که حملات اولیه را مشاهده کردند، هکرهای Armory Castle از این نقص برای دستیابی به دسترسی اولیه سوء استفاده کردند و با فعال کردن مجوزهای Set User ID (SUID) به امتیازات روت در دستگاه‌های در معرض خطر افزایش یافتند.

سپس، آنها بدافزار جدید پوسته وب Sawfly و تونل بار Bareclaw را مستقر کردند، لاگ‌ها را برای فرار از شناسایی پاک کردند و با استفاده از اعتبارنامه‌های مدیر در معرض خطر با باز کردن جلسات از راه دور در سیستم‌های پایین‌دست، به صورت جانبی در شبکه قربانی حرکت کردند.

Mandiant گفت: "پس از ایجاد جای پایی از طریق پوسته وب، بازیگر از حساب وب سرویس به کنترل در سطح اصلی میزبان دستگاه ارتقاء داد. این به آنها امکان دسترسی به هر اعتباری را که دستگاه ذخیره یا واسطه شده بود و توانایی اصلاح پرونده‌هایی که از راه‌اندازی مجدد و تنظیم مجدد باقی می‌ماند را می‌داد.

"هر وسیله ای که در طول پنجره بهره برداری از طریق اینترنت در یک نسخه آسیب پذیر قابل دسترسی بود، باید تا زمانی که بازبینی نشود، به عنوان بالقوه در معرض خطر تلقی شود."

ناظر تهدیدات اینترنتی Shadowserver بیش از 1400 مورد پشتیبانی از راه دور BeyondTrust را که به صورت آنلاین در معرض دید قرار گرفته اند را ردیابی می کند، اما هیچ اطلاعاتی در مورد اینکه چه تعداد قبلا ایمن شده اند یا هانی پات هستند ارائه نمی دهد.

Armory Castle به دلیل هدف قرار دادن آسیب‌پذیری‌های روز صفر در لوازم لبه شبکه، از جمله Citrix NetScaler مختلف (CVE-2023-4966) و Ivanti Connect Secure (CVE-2023-46805 و CVE-2024-21887، و سپس 25-2020، حداقل از اکتبر 2) شناخته شده است. 2023 برای نقض شبکه های سازمانی و حذف بدافزار سفارشی جدید.

شرکت اطلاعاتی تهدید Volexity همچنین در ژانویه 2024 اعلام کرد که UNC5221 بیش از 2100 دستگاه Ivanti را با استفاده از پوسته وب GiftedVisitor در حملات زنجیره‌ای CVE-2023-46805 و CVE-2024-21887 در روزهای صفر پشت سر گذاشته است.

Mandiant افزود: «در کمپین‌های گذشته، ARMORY CASTLE به دنبال افشای عمومی آسیب‌پذیری‌هایی که به‌طور انتخابی به‌عنوان روز صفر از آن بهره‌برداری کرده بود، بهره‌برداری گسترده و فرصت‌طلبانه انجام داده است، و برای نفوذ به سازمان‌های هدف قبل از استقرار وصله‌ها رقابت می‌کند». این امکان وجود دارد که ما تلاش‌های بهره‌برداری گسترده مشابه با CVE-2026-102764 را مشاهده کنیم.»

CVE-2026-102764 آخرین مورد از یک رشته دیگر نقص های BeyondTrust است که بازیگران تهدید در سال های اخیر در طبیعت از آنها سوء استفاده کرده اند. اخیرا، مهاجمان از یکی دیگر از آسیب‌پذیری‌های اجرای کد از راه دور حیاتی (CVE-2026-1731) که بر پشتیبانی از راه دور و لوازم دسترسی از راه دور ممتاز تأثیر می‌گذارد، برای ایجاد کانال‌های WebSocket و استقرار باج‌افزار سوء استفاده کردند.

همچنین اعتقاد بر این است که گروه هک Silk Typhoon تحت حمایت دولت چین از دو روز صفر (CVE-2024-12356 و CVE-2024-12686) برای نفوذ به سیستم های BeyondTrust و استفاده از یک کلید API سرقت شده برای به خطر انداختن 17 Remote Department's Trestances's Department of Saasursst، از جمله پشتیبانی از راه دور SaaSaS در استفاده کرده است. .

در همین کمپین، سیلک تایفون همچنین دفتر کنترل دارایی های خارجی (OFAC) را که برنامه های تحریمی ایالات متحده را مدیریت می کند و کمیته سرمایه گذاری خارجی در ایالات متحده (CFIUS) که سرمایه گذاری های خارجی را از نظر خطرات امنیت ملی بررسی می کند، هدف قرار داده است.

BeyondTrust خدمات امنیت هویت را به بیش از 20000 مشتری در سراسر جهان از جمله سازمان های دولتی و 75٪ از شرکت های Fortune 100 ارائه می دهد.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

ایوانتی هشدار می دهد که Connect Secure روز صفر در حملات مورد سوء استفاده قرار می گیرد

سیسکو در مورد حداکثر شدت ISE صفر روز که در حملات مورد سوء استفاده قرار می گیرد هشدار می دهد

Palo Alto Networks درباره نقص PAN-OS RCE هشدار می دهد که در حملات مورد سوء استفاده قرار می گیرد

Cisco وصله‌های جدید Secure Email Gateway zero-day را که در حملات مورد سوء استفاده قرار می‌گیرد

CISA به مدیران هشدار می دهد که فورا نقص Ivanti را که به عنوان روز صفر مورد سوء استفاده قرار گرفته است، برطرف کنند