Nuove fonti svelano dettagli inediti sullo sfruttamento della vulnerabilità zero-day CVE-2026-102764 da parte del gruppo cinese Armory Castle. L'AI emerge come fattore critico nell'escalation degli attacchi ai sistemi di gestione dell'identità.
Una recente falla di sicurezza di tipo zero-day, identificata come CVE-2026-102764, ha rappresentato un serio rischio per i sistemi di BeyondTrust, permettendo a malintenzionati di ottenere accessi non autorizzati con privilegi elevati. Le nuove informazioni emerse confermano che attori legati alla Cina, operanti sotto il nome di "Armory Castle" (precedentemente noto come UNC5221 a Mandiant e Google Threat Intelligence Group, e "Warp Panda" a CrowdStrike), hanno sfruttato attivamente questa vulnerabilità fin dalla fine di agosto, prima che BeyondTrust potesse rilasciare un aggiornamento correttivo.
La vulnerabilità CVE-2026-102764 è una falla critica di bypass dell'autenticazione che consente ad attaccanti remoti non privilegiati di eseguire operazioni sui file su appliance non aggiornate. Questo tipo di attacco è particolarmente insidioso poiché permette a un utente con accesso limitato di ottenere un controllo amministrativo sui sistemi compromessi, spesso attraverso l'abilitazione di permessi Set User ID (SUID). La gravità della situazione è acuita dal fatto che la falla è stata sfruttata come zero-day fin dalla fine di agosto, concedendo agli aggressori un vantaggio significativo.
BeyondTrust ha rilasciato una patch per i propri clienti SaaS l'8 ottobre, mentre le installazioni self-hosted richiedono un aggiornamento manuale. Tuttavia, le nuove fonti suggeriscono che, data la natura furtiva dell'attività e l'uso di uno zero-day, potrebbero esserci state ulteriori organizzazioni compromesse prima della divulgazione pubblica. Mandiant ha avvertito le organizzazioni di "prepararsi a una potenziale diffusione su larga scala", poiché Armory Castle e altri gruppi di minaccia hanno in passato condotto sfruttamenti ampi e opportunistici dopo la divulgazione pubblica di vulnerabilità.
Le nuove informazioni gettano luce su un quadro di minacce informatiche in rapida evoluzione, dove l'intelligenza artificiale (AI) e le infrastrutture di gestione dell'identità giocano un ruolo sempre più centrale. Una ricerca su 1.200 professionisti IT ha rivelato che l'AI è stata presente in circa l'84% delle vittime di attacchi ransomware intervistate, e l'87% ha segnalato attacchi mirati alle proprie infrastrutture di gestione dell'identità. Questi dati suggeriscono una correlazione tra l'accelerazione delle operazioni criminali e le debolezze nei sistemi che governano l'accesso alle risorse aziendali.
Ex Direttore Nazionale della Cyber Security USA, Chris Inglis, ha sottolineato come l'AI aiuti gli aggressori a identificare vulnerabilità, personalizzare attacchi di phishing e ingegneria sociale, automatizzare le intrusioni e adattare le tattiche in tempo reale. Tomer Bar, esperto di sicurezza presso Semperis, ha avvertito che i modelli linguistici di grandi dimensioni (LLM) possono accelerare lo sviluppo di codice malevolo e facilitare ai criminali il test delle implementazioni di crittografia, riducendo potenzialmente gli errori che potrebbero offrire ai difensori opportunità di recupero senza il pagamento del riscatto.
Armory Castle è noto per il suo modus operandi che include lo sfruttamento di vulnerabilità zero-day in appliance di rete per ottenere accesso iniziale e scalare i privilegi. Questo gruppo ha un precedente di sfruttamento di vulnerabilità zero-day in appliance di rete, inclusi Citrix NetScaler e Ivanti Connect Secure, a partire da ottobre 2023. La loro strategia spesso prevede lo sfruttamento selettivo di vulnerabilità come zero-day, per poi procedere a uno sfruttamento più diffuso una volta che la falla diventa pubblica, cercando di infiltrarsi nelle organizzazioni prima che le patch vengano applicate.
Secondo i ricercatori di Mandiant, Armory Castle ha utilizzato la falla per ottenere il controllo di root sugli appliance compromessi, abilitando i permessi SUID. Successivamente, hanno distribuito nuovi malware come il web shell Sawfly e il tunneler Bareclaw, cancellato i log per eludere il rilevamento e si sono mossi lateralmente nella rete della vittima utilizzando credenziali di amministratore compromesse, aprendo sessioni remote su sistemi downstream. "Qualsiasi appliance raggiungibile da Internet su una versione vulnerabile durante la finestra di sfruttamento dovrebbe essere trattato come potenzialmente compromesso fino a quando non è stato esaminato", avvertono i ricercatori.
BeyondTrust ha notato la perizia di Armory Castle, affermando che "questo attore delle minacce ruota la sua infrastruttura e i suoi strumenti per ogni vittima, quindi l'attribuzione si basa sul comportamento. Gli indicatori di una intrusione raramente sopravvivono alla successiva". L'azienda ha anche evidenziato che "l'attore delle minacce ha storicamente dimostrato un alto grado di consapevolezza della sicurezza operativa, pratiche professionali e tecniche".
L'impatto di un attacco che sfrutta una vulnerabilità zero-day, specialmente se combinato con tecniche avanzate, può essere devastante. Ottenere privilegi di root su un sistema compromesso permette agli aggressori di installare malware persistente, esfiltrare dati sensibili, modificare configurazioni di sistema per facilitare ulteriori attacchi, utilizzare il sistema compromesso come punto di partenza per attaccare altre reti e causare interruzioni dei servizi.
La nuova ricerca evidenzia come le infrastrutture di identità, come Active Directory, Microsoft Entra ID e Okta, siano diventate bersagli primari. Il compromesso di questi sistemi può consentire agli avversari di abusare di privilegi fidati. L'introduzione di agenti AI manipolati aggiunge un ulteriore vettore di attacco, sfruttando le autorizzazioni già presenti all'interno di un'organizzazione. "Armory Castle rimane uno dei più importanti attori delle minacce legate alla Cina a causa del suo targeting persistente di varie tecnologie di dispositivi edge, dell'uso di vulnerabilità zero-day per lo sfruttamento su larga scala in molteplici settori e regioni, e del suo arsenale di strumenti in continua espansione ed evoluzione", ha affermato Dan Perez, technical lead presso GTIG.
Data la vasta diffusione dei prodotti BeyondTrust nelle infrastrutture di supporto IT aziendali e governative, una vulnerabilità di questa portata rappresenta una minaccia significativa per la sicurezza informatica globale. La tendenza verso attacchi più sofisticati, potenziati dall'AI e mirati ai punti nevralgici dell'accesso, amplifica ulteriormente i rischi.
BeyondTrust ha rilasciato patch per correggere la vulnerabilità CVE-2026-102764. Gli esperti di sicurezza raccomandano vivamente agli utenti dei prodotti BeyondTrust interessati di monitorare attentamente gli annunci ufficiali dell'azienda e di applicare tempestivamente qualsiasi aggiornamento, specialmente per le installazioni self-hosted. BeyondTrust ha rilevato la prima istanza nota di sfruttamento zero-day il 29 agosto, contenendola il 28 settembre, dopo aver confermato lo sfruttamento di zero-day in un altro prodotto di sicurezza il 27 settembre.
Nel frattempo, le organizzazioni dovrebbero rafforzare le proprie difese attraverso misure proattive, che ora devono necessariamente includere una gestione attenta dell'AI e delle identità:
Questo incidente sottolinea la continua evoluzione delle minacce informatiche e la necessità di una vigilanza costante. Gli attacchi zero-day sono una tattica preferita da gruppi di cybercriminali avanzati e da attori sponsorizzati da stati, che cercano di massimizzare l'impatto dei loro attacchi prima che le difese possano essere implementate. La scoperta e lo sfruttamento di questa vulnerabilità, unitamente alla crescente sofisticazione degli attacchi ransomware guidati dall'AI e mirati ai sistemi di identità, evidenziano l'importanza della ricerca sulla sicurezza e della collaborazione tra ricercatori, aziende e comunità di cybersecurity per identificare e mitigare rapidamente le minacce emergenti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
