Nuove analisi approfondiscono la campagna di spionaggio ARMORY CASTLE, che ha sfruttato una vulnerabilità zero-day in BeyondTrust Remote Support, rivelando tecniche avanzate di persistenza e occultamento.
Nuove analisi approfondite hanno gettato ulteriore luce sulla sofisticata campagna di spionaggio informatico condotta dal gruppo ARMORY CASTLE (precedentemente noto come UNC5221 o Warp Panda), attribuito a uno stato-nazione con presunti legami con la Cina. L'attacco, che ha sfruttato una vulnerabilità zero-day nel software BeyondTrust Remote Support (ex Bomgar), è avvenuto già alla fine di agosto 2026, settimane prima che la falla venisse resa pubblica da BeyondTrust il 15 ottobre dello stesso anno.
La vulnerabilità in questione, identificata come CVE-2026-102764 con un punteggio CVSS di 9.3, risiede in una validazione impropria dell'origine dei messaggi all'interno di un componente di messaggistica interna. Questo difetto ha permesso agli attaccanti di eseguire operazioni sui file dell'appliance, rappresentando un punto di ingresso iniziale critico. BeyondTrust ha confermato che la falla era legata a componenti interni che non validavano adeguatamente l'origine dei messaggi ricevuti, aprendo la porta a potenziali manipolazioni dei file.
Le indagini congiunte di Mandiant, Google e BeyondTrust hanno delineato una sequenza di azioni estremamente mirate da parte di ARMORY CASTLE. Dopo aver ottenuto l'accesso iniziale tramite la vulnerabilità zero-day, gli aggressori hanno implementato un webshell PHP chiamato SAWFLY. Questo implant, progettato per essere leggero e offuscato, utilizzava un trasporto customizzato in Base32 e crittografia RC4 per le comunicazioni. Per eludere il rilevamento, SAWFLY rispondeva con un codice di errore 404 quando i parametri attesi non erano presenti, ma eseguiva il codice PHP fornito in caso contrario.
Un passaggio cruciale dell'attacco è stata l'escalation dei privilegi fino al livello root. Gli attaccanti hanno raggiunto questo obiettivo copiando il file /bin/sh in /usr/bin/dbus-authd, modificandone il proprietario in root e abilitando il bit Set User ID (SUID). Questa tecnica ha permesso l'esecuzione del file con i massimi privilegi, conferendo loro un controllo completo sull'appliance e creando una backdoor persistente a livello di root.
ARMORY CASTLE ha dimostrato una profonda conoscenza dell'architettura di BeyondTrust, prendendo di mira l'utility nativa per la gestione dei segreti, /ns/sbin/bt-secrets. L'obiettivo era estrarre credenziali, chiavi API e password archiviate nei vault specifici del sito e nei gestori di password a livello di appliance. Per garantire la persistenza, anche dopo eventuali riavvii o reset di configurazione, gli aggressori hanno inserito uno script di avvio che modificava un template sudoers. Questo ha concesso privilegi di root senza password all'account di servizio, sfruttando l'utility di configurazione di BeyondTrust per applicare la modifica.
Inoltre, gli attaccanti hanno sfruttato il servizio nativo di trasferimento file di BeyondTrust per esfiltrare documenti interni sensibili, come inventari software, direttamente dal desktop degli utenti. Hanno anche modificato direttamente i permessi degli account compromessi, elevando le autorizzazioni di "Jump Item" e "Team" da "Nessun Accesso" ad "Amministratore", garantendo così un accesso permanente e illimitato per lanciare sessioni remote verso sistemi downstream.
La strategia di occultamento delle tracce è stata altrettanto meticolosa. Oltre alla cancellazione dei log specifici relativi all'uso di bt-secrets, gli attaccanti hanno eliminato sistematicamente log di autenticazione, web, applicazione e di sistema per rendere più difficile l'analisi forense. Hanno inoltre utilizzato credenziali amministrative compromesse per accedere al portale di Remote Support e modificare i permessi degli account.
Per espandere la loro presenza all'interno della rete delle vittime, è stato impiegato uno strumento customizzato in C chiamato BARECLAW. Questo tool fungeva da relay per connessioni TCP attraverso un proxy SOCKS5, utilizzando WebSockets. BARECLAW operava su una porta specifica, richiedeva un token, impiegava tecniche di offuscamento e sopprimeva attivamente i propri log. Gli attaccanti hanno ulteriormente mascherato il traffico malevolo modificando le regole di HAProxy per reindirizzare le richieste verso un URL specifico al listener locale di BARECLAW, integrandolo nel traffico legittimo del proxy dell'appliance.
BeyondTrust ha rilasciato tempestivamente patch per mitigare la vulnerabilità. Le patch sono state distribuite ai clienti SaaS di Remote Support a partire dal 9 ottobre 2026, mentre per i clienti con installazioni self-hosted è stato rilasciato un aggiornamento specifico (BT26-05-RS) per le versioni da 24.3.1 a 26.2.3. Le versioni precedenti richiedono un upgrade completo. BeyondTrust ha scelto di non divulgare dettagli tecnici sulla vulnerabilità fino a quando la maggior parte dei clienti non avesse applicato le patch, per evitare un aumento del rischio.
Google ha esortato le organizzazioni interessate ad applicare immediatamente le patch, avvertendo che attori come ARMORY CASTLE tendono a passare da uno sfruttamento mirato di zero-day a campagne di attacco più ampie e opportunisticche una volta che le vulnerabilità diventano pubbliche. Questo comportamento è stato osservato in precedenza, ad esempio, con attacchi a dispositivi edge come le appliance Ivanti, Cisco e Palo Alto Networks, che sono stati anch'essi presi di mira di recente.
Le organizzazioni che utilizzano BeyondTrust Remote Support sono fortemente esortate ad applicare immediatamente le patch e a seguire scrupolosamente le procedure di remediation. Tuttavia, data la profondità della compromissione, che ha incluso l'accesso root, il furto di credenziali e modifiche alla persistenza, il solo patching potrebbe non essere sufficiente a rimuovere completamente una minaccia pregressa. È fondamentale condurre una revisione approfondita della telemetria di rete e delle appliance per identificare eventuali artefatti sospetti. Questi includono file inattesi nella web root, binari con SUID abilitato, modifiche agli script di avvio o ai template sudoers, alterazioni alla configurazione di HAProxy, attività anomale con bt-secrets, cambiamenti nei permessi degli account e traffico WebSocket in uscita.
Google ha fornito ulteriori raccomandazioni, tra cui bloccare il traffico in entrata verso l'indirizzo pubblico dell'appliance a livello di firewall, negare il traffico in uscita non essenziale, terminare le sessioni attive, disabilitare nuove sessioni e redeployare le appliance compromesse da un'immagine pulita e completamente patchata.
ARMORY CASTLE è attivo da ottobre 2023 e ha una storia di sfruttamento di vulnerabilità zero-day in altri prodotti di sicurezza, come Citrix NetScaler e Ivanti Connect Secure, colpendo settori critici per la raccolta di intelligence a lungo termine. La loro metodologia sembra includere la selezione anticipata di obiettivi di alto valore e lo sviluppo di catene di exploit basate su modelli di prodotto analizzati in contesti AI. Google valuta con alta confidenza che ARMORY CASTLE continuerà a sfruttare vulnerabilità zero-day in dispositivi edge per supportare i propri obiettivi di spionaggio.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
