Çin bağlantılı siber casusluk grubu Armory Castle önceden UNC5221 ya da Warp Panda olarak izleniyordu ve Ağustos 2026 sonlarında BeyondTrust Remote Support'ta eski adıyla Bomgar yeni açıklanan bir güvenlik açığını sıfırıncı gün olarak istismar etti.
Açık CVE-2026-102764 olarak izleniyor ve CVSS 9.3 puanına sahip. Etkilenen cihazda dosya işlemleri yapabilen uzaktan saldırganın istismar edebileceği dahili mesajlaşma bileşeninde uygunsuz kaynak doğrulaması sorunu söz konusu.
BeyondTrust Perşembe günü yayımladığı uyarıda "Açık Remote Support'un dahili bileşenlerinde bulunuyor" dedi. "Bileşenler aldığı mesajların kaynağını yeterince doğrulamıyordu. Uygun koşullarda bu, cihaz üzerinde dosya işlemleri yapmak için kullanılabilir."
Açık için yamalar 9 Ekim 2026 itibarıyla tüm Remote Support SaaS müşterilerine gönderildi. 24.3.1 ile 26.2.3 arasındaki sürümleri kullanan kendi barındırılan Remote Support müşterilerinin BT26-05-RS yaması ile manuel güncelleme yapmaları öneriliyor. 24.3.1'den eski sürüm kullanan müşterilerin düzeltmeyi uygulayabilmek için daha yeni bir sürüme yükseltmeleri gerekecek.
BeyondTrust'ın paylaştığı olay zaman çizelgesine göre Armory Castle açığı 29 Ağustos 2026'da tek bir kendi barındırılan Remote Support cihazında sıfırıncı gün olarak istismar etmiş. BeyondTrust, 27 Eylül 2026'da "başka bir güvenlik cihazı sağlayıcısının başarılı istismarının" kamuoyuna yansıdığını, bunun üzerine benzer faaliyetleri araştırmak için soruşturma başlattığını ekledi.
Armory Castle daha önce Citrix NetScaler CVE-2023-4966 ve Ivanti Connect Secure CVE-2023-46805, CVE-2024-21887 ve CVE-2025-0282 cihazlarındaki sıfırıncı gün açıklarını istismar ederek hukuk hizmetleri, SaaS sağlayıcıları, iş süreci dış kaynak hizmetleri, teknoloji ve hükümetler dahil geniş bir sektörü uzun vadeli istihbarat toplamak için hedeflemiş. Grup Ekim 2023'ten beri aktif olduğu biliniyor.
BeyondTrust "Aktör sıfırıncı günü seçilen hedeflere karşı seçici kullanıyor ve açık kamuya açıldığında genellikle yamalanmamış her örneği geniş çaplı istismar etmeye geçiyor" dedi. "Çalışan değerlendirmemize göre bu aktör yüksek değerli yazılım hedeflerini önceden seçiyor ve istismar zincirleri geliştirmek için sürekli kullandığı yapay zekâ bağlamında hedeflediği ürünlerin çalışan bir modelini tutuyor."
İstismar faaliyetine ilişkin ek detayları paylaşan Google'a bağlı Mandiant, başarılı bir ihlalden sonra etkileşimli uzaktan erişim ve çift yönlü şifreli komut ve kontrol C2 iletişimi için SAWFLY kod adlı hafif bir PHP web shell dağıtıldığını söyledi.
Operatör düzenli trafiğe karışmak için ticari VPN çıkış düğümleri ve ele geçirilmiş ev ve küçük ofis yönlendiricileri kullanıyor, ardından web shell'i ayrıcalıkları yükseltmek, cihaza tam yönetici kontrolü sağlamak ve yeniden başlatmalardan sonra da devam eden kalıcılık oluşturmak için bir kanal olarak kullanıyor.
İhlal, cihazda saklanan gizli bilgileri okuyarak kimlik bilgisi çalınmasını kolaylaştırmaya ve yönetici erişimini kötüye kullanarak alt sistemlere ulaşmaya ve yatay hareket sağlamaya yönelik çabalarla karakterize ediliyor. Tehdit aktörünün istismar sonrası gerçekleştirdiği eylemlerin detayları aşağıda listeleniyor.
Cihaz ana bilgisayarında kök düzeyinde kontrol sağlamak için sistem kabuk yürütülebilir dosyası /bin/sh /usr/bin/dbus-authd dosyasına kopyalanıyor, sahipliği root olarak değiştiriliyor ve Set User ID SUID izinleri etkinleştiriliyor, böylece dosyanın sahibi ayrıcalıklarıyla çalıştırılıyor.
Cihazın yerel gizli bilgi yönetim veritabanından kimlik bilgilerini toplamak için parolaları, API anahtarlarını ve uç nokta kimlik bilgilerini yönetmek, depolamak ve almak üzere özel /ns/sbin/bt-secrets Komut Satırı Arayüzü CLI yardımcı programı kullanılmaya çalışılıyor.
Site servis hesabına parolasız root ayrıcalıkları elde etmek için BeyondTrust yapılandırma şablonları hedefleniyor ve
Ele geçirilen yönetici kimlik bilgileriyle keşif yapmak ve ardından cihazın Jump Item listesinde yer alan alt sistemlere uzaktan oturum başlatmak için BeyondTrust Remote Support uygulamasına geçiş yapılıyor.
Yükseltilmiş yönetici ayrıcalıkları kötüye kullanılarak iç uç noktaları hedeflemek için uzaktan destek oturumu kuruluyor ve ağ keşfi için hassas iç belgeleri indirmek ve dışarı sızdırmak amacıyla bu sistemlere tam dosya sistemi erişimi elde ediliyor.
Trafik, uzaktan istemci ile hedefler arasında TCP bağlantılarını ileten C tabanlı özel bir SOCKS5 proxy tünelleyicisi olan BARECLAW aracılığıyla BeyondTrust cihazından tünelleniyor.
BARECLAW'ın doğrudan internetten erişilebilir olmasını sağlamak için /ns/config/haproxy.conf dosyası değiştiriliyor.
Tespit çabalarını engellemek için sistem, web sunucusu ve uygulama düzeyindeki günlükler sistematik olarak siliniyor.
"İhlal boyunca Armory Castle, özel CLI yardımcı programlarının, başlatma yapılandırma şablonlarının ve yerel ters proxy yönlendirmenin kötüye kullanılmasıyla kanıtlandığı üzere BeyondTrust cihazı iç yapıları hakkında derin bir anlayış sergiledi" dedi Google Tehdit İstihbaratı Grubu GTIG ve Mandiant araştırmacıları Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch ve John Wolfram.
"İstismar penceresi sırasında internetten erişilebilir olan ve savunmasız sürümde çalışan herhangi bir cihaz, incelenene kadar potansiyel olarak tehlikeye girmiş olarak ele alınmalıdır."
