15 października 2026 roku firma BeyondTrust ujawniła krytyczną lukę CVE-2026-102764 w produkcie Remote Support, dawniej znanym jako Bomgar. Według analiz Mandiant i Google Cloud była ona wykorzystywana jako zero-day już od 29 sierpnia, czyli prawie sześć tygodni przed publicznym ujawnieniem. Za atakami ma stać grupa UNC5221 (inaczej ARMORY CASTLE lub WARP PANDA), powiązana z chińskim wywiadem. Poprawka została wydana 8 października, a szczegóły techniczne podatności nie zostały jeszcze opublikowane.
Jak wyglądał atak
Napastnicy włamali się do urządzenia za pomocą exploita, a następnie uruchomili webshell działający przez istniejący serwer WWW. Po uzyskaniu dostępu w kilka minut przejmowali pełną kontrolę administracyjną, odczytywali zapisane w systemie sekrety i używali ich do dalszego poruszania się po sieciach ofiar. Na końcu usuwali logi oraz własne narzędzia, a w urządzeniu zostawiali mechanizm przetrwający restart. Ruch pochodził z komercyjnych węzłów VPN i przejętych domowych routerów, co utrudniało blokowanie po adresach IP.
Dlaczego to takie groźne
Narzędzia do zdalnego wsparcia mają dostęp do wielu komputerów i serwerów jednocześnie, więc ich przejęcie daje atakującym uprzywilejowany wstęp do całej infrastruktury klienta. Co ciekawe, czujniki wykryły eskalację uprawnień, ale zewnętrzna platforma automatycznie uznała alerty za fałszywe. Włamanie do instancji w chmurze wykryto dopiero podczas ręcznego threat huntingu 28 września. BeyondTrust podejrzewa też, że napastnicy mogli używać modelu AI do budowania łańcuchów exploitów, choć nie ma na to twardych dowodów.
Co możesz zrobić
Jeśli używasz samodzielnie hostowanego Remote Support lub Privileged Remote Access, natychmiast zainstaluj poprawki z biuletynu BT26-05. Ogranicz dostęp do panelu administracyjnego do zaufanych sieci i filtruj ruch wychodzący z urządzenia. Wysyłaj logi na zewnątrz, do SIEM lub zwykłego serwera syslog, bo lokalne logi napastnik może wymazać. Szukaj nieznanych skryptów w katalogach WWW, sesji administratorów z adresów domowych lub VPN oraz zmian w uprawnieniach. Jeśli podejrzewasz włamanie, zmień wszystkie hasła i klucze zapisane na urządzeniu, sprawdź nowe rejestracje MFA i przed odbudową zrób obraz dysku do analizy. Sama łatka nie usunie wcześniejszego włamania.
Podsumowanie
Ta sprawa pokazuje, że urządzenia brzegowe i narzędzia zdalnego dostępu są dziś jednym z głównych celów grup państwowych. Aktualizacje są konieczne, ale nie wystarczą: potrzebne są niezależne logi, ograniczenie ekspozycji paneli administracyjnych i czujność na alerty, których nie wolno bezrefleksyjnie zamykać jako fałszywe.
źródło: https://gbhackers.com/beyondtrust-zero-day-exploited/