Un gruppo di spionaggio legato alla Cina ha sfruttato una vulnerabilità zero-day in BeyondTrust Remote Support (CVE-2026-102764) per accedere a sistemi critici, cancellando poi i log per occultare le proprie tracce. BeyondTrust ha rilasciato una patch e sta lavorando per contenere la minaccia.
Un'importante vulnerabilità di tipo zero-day nel software BeyondTrust Remote Support è stata sfruttata da un gruppo di attacco sospettato di avere legami con la Cina, con l'obiettivo di condurre attività di spionaggio. La falla, identificata come CVE-2026-102764, ha permesso agli aggressori di ottenere accesso non autorizzato a sistemi sensibili, per poi tentare di cancellare i log di sistema al fine di nascondere le proprie azioni.
BeyondTrust ha rilasciato un avviso di sicurezza, BT26-05, e ha reso pubblica la vulnerabilità il 15 ottobre 2026, in concomitanza con un'analisi dettagliata fornita da Mandiant. Secondo le informazioni diffuse da BeyondTrust, l'attacco è avvenuto il 29 agosto 2026, colpendo un'istanza di Remote Support ospitata dalla stessa BeyondTrust e un'altra gestita autonomamente dai clienti. Il codice interessato è condiviso anche con il prodotto Privileged Remote Access (PRA). Sebbene BeyondTrust abbia dichiarato che i test sul PRA non hanno rivelato alcuna possibilità di sfruttamento, per precauzione è stata rilasciata una patch anche per questo prodotto.
BeyondTrust attribuisce l'attività, con un livello di confidenza da moderato ad alto, al gruppo noto come UNC5221, che Mandiant ha rinominato ARMORY CASTLE. Anche CrowdStrike traccia lo stesso cluster di attività sotto il nome WARP PANDA. L'attribuzione si basa su specifiche tattiche, tecniche e procedure (TTP), poiché il gruppo sembra ruotare le proprie infrastrutture e gli strumenti utilizzati per ogni vittima, rendendo difficile l'identificazione persistente.
Questo gruppo è già stato associato in passato ad attacchi che hanno sfruttato vulnerabilità zero-day su altri prodotti, tra cui Citrix NetScaler (CVE-2023-4966) e Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282). I bersagli tipici di questo attore includono studi legali, fornitori di servizi SaaS, società di outsourcing di processi aziendali, aziende tecnologiche e organismi governativi.
BeyondTrust ha anche ipotizzato che l'attaccante possa utilizzare un modello di intelligenza artificiale per analizzare i prodotti target e costruire catene di exploit, sebbene al momento non vi siano prove forensi concrete a supporto di questa teoria.
Mandiant ha documentato l'uso di una web shell personalizzata e di uno strumento di tunneling, fornendo hash di file e regole YARA per facilitare il rilevamento. L'indagine di threat hunting condotta da BeyondTrust ha identificato l'intrusione in un'istanza SaaS il 28 settembre, riuscendo a contenerla entro 27 minuti dalla scoperta. È emerso che alcuni sensori di sicurezza avevano attivato alert al momento dell'escalation dei privilegi da parte dell'attaccante, ma uno strumento di triage di terze parti li aveva erroneamente classificati come falsi positivi. BeyondTrust sta collaborando con il fornitore di tale strumento per evitare che segnali di alta gravità vengano chiusi automaticamente in futuro.
La patch per la vulnerabilità è stata rilasciata l'8 ottobre, dopo che l'analisi di varianti dell'attacco ha rivelato ulteriori percorsi di sfruttamento. BeyondTrust ha scelto di non divulgare dettagli tecnici completi fino a quando tutte le appliance self-hosted non saranno state aggiornate.
Le raccomandazioni fornite da BeyondTrust includono l'applicazione immediata della patch BT26-05 per le appliance Remote Support e PRA self-hosted. Si consiglia inoltre di limitare l'accesso alle interfacce amministrative a reti fidate e di restringere il traffico in uscita dalle appliance di gestione.
È fondamentale che le organizzazioni inoltrino i log di sistema e gli eventi di sessione a un SIEM (Security Information and Event Management) in tempo quasi reale, poiché i log locali potrebbero essere stati compromessi o cancellati. I team di sicurezza dovrebbero concentrarsi sulla caccia ai comportamenti sospetti piuttosto che basarsi esclusivamente su indicatori noti. Tra i comportamenti da ricercare figurano: sessioni amministrative avviate da indirizzi IP residenziali o VPN, script sconosciuti in directory web, account di servizi web che generano shell, e modifiche ai permessi di "Jump Items" o "Teams".
Inoltre, è importante monitorare eventuali interruzioni nell'inoltro dei log che iniziano e terminano all'interno della stessa sessione. In caso di riscontro di prove di sfruttamento, è necessario ruotare tutte le credenziali memorizzate dall'appliance, verificare nuove registrazioni MFA sugli account privilegiati e procedere alla ricostruzione dell'appliance da un'immagine pulita.
I clienti che sospettano un'intrusione sono invitati ad aprire una richiesta di supporto di livello 1 citando "BT26-05".
Mandiant avverte che, storicamente, un'ampia diffusione di attacchi su sistemi non patchati segue spesso la divulgazione pubblica di una vulnerabilità. Il gruppo Google Threat Intelligence ha segnalato un raddoppio delle vulnerabilità sfruttate nel 2026, evidenziando una tendenza preoccupante. L'adozione dell'intelligenza artificiale da parte degli attaccanti sta accelerando ulteriormente la velocità con cui le falle vengono trasformate in exploit attivi. Pertanto, la gestione tempestiva delle patch, la protezione dell'esposizione delle appliance e la corretta configurazione del logging off-box sono considerate le misure di controllo più critiche.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
