Investigadores de Mandiant y Google Threat Intelligence Group (GTIG) han atribuido a Armory Castle —también rastreado como UNC5221 o Warp Panda— la explotación como zero-day de una vulnerabilidad en BeyondTrust Remote Support identificada como CVE-2026-102764. El actor la utilizó para comprometer appliances RS y realizar espionaje a largo plazo.
Qué permite la vulnerabilidad y qué versiones afectan
El defecto se describe como una validación inapropiada del origen de mensajes que permite a un atacante ejecutar operaciones de archivos en appliances Remote Support. BeyondTrust indicó que todas las versiones hasta la 26.2.3 inclusive están afectadas y que el arreglo se incluyó en el parche BT26-05-RS para las ramas desde 24.3.1 hasta 26.2.3. Los clientes con versiones anteriores a 24.3.1 deben actualizar primero a una versión compatible y luego aplicar el parche.
Cómo actuó Armory Castle y herramientas observadas
Según los reportes, la explotación inicial registrada ocurrió el 29 de agosto contra al menos un appliance RS alojado por BeyondTrust y otro autohospedado. Tras la intrusión, el grupo desplegó un webshell llamado Sawfly y un túnel SOCKS5 personalizado llamado Bareclaw. También escalaron privilegios hasta obtener control de nivel root en el host del appliance, recolectaron credenciales y eliminaron sistemáticamente registros del sistema, servidor web y aplicaciones.
Con credenciales administrativas comprometidas, los atacantes modificaron permisos en la cuenta de servicio del producto para controlar sistemas remotos y pivotaron hacia endpoints internos. Los informes señalan que aprovecharon la funcionalidad nativa de transferencia de archivos del Remote Support para descargar documentos internos —como inventarios de software— directamente desde escritorios de usuarios.
Impacto y alcance
Armory Castle es un grupo de espionaje vinculado a operaciones estatales, con un historial de explotación de vulnerabilidades en appliances de borde y proveedores de servicio. Mandiant y GTIG indican que sus objetivos típicos incluyen proveedores SaaS, empresas tecnológicas, organismos gubernamentales, despachos legales y proveedores de procesos de negocio. En operaciones anteriores el grupo también explotó zero-days en appliances de terceros.
Qué deben hacer los administradores y dueños de webs
Si su organización usa BeyondTrust Remote Support, compruebe la versión del appliance y siga estas acciones prácticas:
- Verifique la versión: confirme si el appliance está en una versión afectada (hasta 26.2.3 inclusive).
- Actualizar y parchear: aplique el parche BT26-05-RS si su rama es 24.3.1–26.2.3; si corre una versión anterior, primero actualice a una versión soportada y luego aplique el parche.
- Revisar integridad: inspeccione logs y artefactos —si están disponibles— y busque signos de Sawfly, Bareclaw u otras puertas traseras; tenga en cuenta que los atacantes pueden haber borrado registros.
- Rotación de credenciales: cambie credenciales administrativas y de servicio afectadas, y habilite autenticación multifactor donde sea posible.
- Segmentación y monitorización: limite el acceso entre appliances de soporte y redes internas, y active detección de comportamiento para conexiones anómalas o túneles salientes.
- Respuesta ante incidentes: si detecta compromiso, aísle el appliance, preserve evidencia antes de reinicios o sobrescrituras, y considere asistencia de respuesta forense.
BeyondTrust señaló que aplicó automáticamente el parche a sus clientes SaaS a partir del 9 de octubre de 2026, mientras que las instalaciones autohospedadas deben aplicar la corrección manualmente si no cuentan con actualizaciones automáticas.
Contexto para administradores
La explotación de appliances de borde y herramientas de soporte remoto es una técnica atractiva para actores APT porque esas máquinas a menudo tienen acceso amplio a entornos internos y capacidades legítimas de transferencia de archivos y control remoto. Un fallo en la validación de mensajes que posibilita operaciones sobre el sistema de archivos convierte a estos dispositivos en un vector de acceso privilegiado.
Para reducir riesgos futuros, combine parches rápidos con medidas de mitigación —segmentación, monitoreo y políticas de privilegios mínimos— y mantenga un programa de gestión de vulnerabilidades que incluya pruebas de actualización en entornos controlados antes de desplegar cambios en producción.
Lee también:
- Campaña APT UAT-11985 usa invitaciones y QR falsos para robar credenciales de Google con AitM
- Resumen de seguridad: ICS‑Sniper, fallo en XWorm, exploit de Chrome y otras noticias relevantes
Fuente: SecurityWeek
