Google призова за незабавно инсталиране на поправката, след като откри данни, че заподозрени подкрепяни от китайската държава хакери са използвали уязвимостта през август
На 15 октомври Google предупреди, че организациите трябва да се подготвят за възможна широкоразпространена експлоатация, след като бе открита нова уязвимост в устройствата за дистанционна поддръжка на американската компания за киберсигурност BeyondTrust.
Уязвимостта засяга BeyondTrust Remote Support – корпоративен инструмент, който позволява на екипите по информационни технологии да осъществяват отдалечен достъп до компютри и други устройства и да отстраняват проблеми с тях. Успешното използване на уязвимостта дава на нападателите достъп до идентификационни данни, позволява им да качват файлове по свое усмотрение и да поемат контрол над хоста, според Google Threat Intelligence Group и Mandiant – компанията на Google за разузнаване на киберзаплахи и реакция при инциденти.
На 15 октомври базираната в щата Джорджия компания BeyondTrust разкри уязвимостта CVE-2026-102764, която засяга устройствата BeyondTrust Remote Support.
По време на работа по реакция при инцидент Mandiant установи данни, че Armory Castle – заподозрян шпионски участник в заплахи, свързан с китайската държава – е използвал тази уязвимост в края на август.
„Организациите трябва да се подготвят за възможна широкоразпространена експлоатация след това разкриване, тъй като ARMORY CASTLE и други участници в заплахи в миналото са извършвали мащабна, опортюнистична експлоатация, щом уязвимостта стане публично известна“, заяви Google. „Настоятелно препоръчваме на засегнатите организации незабавно да приложат предоставените от BeyondTrust поправки по сигурността, за да отстранят уязвимостта.“
CVE-2026-102764 засяга всички поддържани версии на Remote Support до 26.2.3 и позволява на неавтентикиран отдалечен нападател да извършва файлови операции на устройството. Това може да доведе до контрол на ниво хост и достъп до всички идентификационни данни, които устройството съхранява или обработва.
В публикация в блога си от 15 октомври BeyondTrust посочи, че сред документираните в миналото цели на Armory Castle „са юридически услуги, доставчици на SaaS услуги, компании за изнесени бизнес процеси, технологични компании и държавни институции“.
Компанията отбеляза, че Armory Castle „исторически е демонстрирала висока степен на осведоменост за оперативната сигурност, професионални практики и технически умения“.
Предишният пробив в Министерството на финансите чрез BeyondTrust
През декември 2024 г. китайски хакери проникнаха дистанционно в Министерството на финансите на САЩ и откраднаха документи от работните му станции, според писмо, изпратено от ведомството до законодатели. Министерството на финансите определи пробива като „значителен инцидент“.
Подкрепяни от китайската държава хакери са компрометирали доставчика на софтуерни услуги BeyondTrust, което им е осигурило достъп до определени некласифицирани документи, според писмото на Адити Хардикар, помощник-министър на финансите на САЩ.
В писмото се посочва, че хакерите са получили „достъп до ключ, използван от доставчика за защита на облачна услуга, използвана за дистанционно предоставяне на техническа поддръжка на крайните потребители в ведомствените служби на Министерството на финансите (DO). С достъп до откраднатия ключ участникът в заплахата е успял да заобиколи защитата на услугата, да осъществи отдалечен достъп до определени работни станции на потребители в DO на Министерството на финансите и да получи достъп до определени некласифицирани документи, съхранявани от тези потребители“.
Ведомството не уточни колко работни станции са били компрометирани или какъв вид документи може да са получили хакерите. В писмото обаче се казва, че услугата на BeyondTrust е била спряна и че „към този момент няма данни, които да сочат, че участникът в заплахата продължава да има достъп до информация на Министерството на финансите“.
Министерството заяви, че работи с ФБР и Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ за разследване на мащаба на хакерската атака.
Инцидентът стана, докато американски служители продължават да оценяват мащаба на киберпробива, извършен от подкрепяната от китайската държава хакерска група Salt Typhoon, която води мащабна шпионска кампания от 2022 г.
