中国系とみられるスパイ集団が、BeyondTrust Remote Supportの重大なゼロデイ脆弱性を悪用してアプライアンスに侵入し、特権認証情報を狙って下流のシステムにもアクセスしていたことが分かりました。
この脆弱性は10月15日に公表されました。CVE-2026-102764として識別され、セキュリティアドバイザリBT26-05に関連しています。攻撃は、これまでUNC5221として追跡されてきたARMORY CASTLEによるものとされています。
BeyondTrustによると、悪用は8月29日に確認されました。被害を受けたのは、BeyondTrustがホスティングするRemote Supportインスタンス1件と、自社運用型（セルフホスト）のアプライアンス1件です。同社の脅威ハンターは9月28日にホスティング環境の侵害を特定し、27分以内にそのインスタンスを封じ込めました。
BeyondTrustによれば、CVE-2026-102764は、認証されていないリモートの攻撃者が任意のファイルのアップロードを含むファイル操作を実行できる脆弱性です。ホストレベルの侵害につながる可能性があります。
影響を受けるのは、26.2.3までのサポート対象のすべてのRemote Supportバージョンです。BeyondTrustは、顧客が公開中のアプライアンスにパッチを適用し終えるまで、脆弱性の詳しい仕組みを伏せています。
脆弱性の存在が確認されているのはRemote Supportです。Privileged Remote Accessも影響を受けるコードを共有しているため、BeyondTrustは予防的なパッチを公開しました。ただし、同社の社内テストでは、この製品で悪用可能な経路は見つかっていません。
セルフホスト型の顧客は、該当するBT26-05の更新プログラムを直ちに適用する必要があります。Mandiantは、難読化されたPHPウェブシェル「SAWFLY」（mangoapi.phpとして設置）を、攻撃者の主要な足がかりと特定しました。
SAWFLYは、Base32エンコードとRC4暗号を用いた特殊な形式のHTTP POSTリクエストを処理します。想定するパラメータがない場合はHTTP 404を返し、定期的なスキャンを回避します。
侵入後、攻撃者はroot権限を掌握し、永続化の仕組みも構築しました。調査では、/usr/bin/dbus-authdにコピーされたシェルが見つかりました。このシェルはroot所有でSUID権限が設定されていました。あわせて、アプライアンスの設定テンプレートを通じてパスワード不要の管理者権限を復元する起動時の改変も確認されています。
攻撃者はBeyondTrust標準のbt-secretsユーティリティを、複数のコマンドのバリエーションで実行し、ボールトの内容を取得しようとしました。Mandiantはこの動きを認証情報の収集の試みと説明しています。ただし、root権限を握られた以上、侵害されたアプライアンスが保管または仲介する認証情報は露出したことになります。
攻撃者は、侵害したアプリケーション管理者の認証情報も悪用しました。Jump ItemとTeamの権限をAdministratorに引き上げています。
これにより、内部エンドポイントへのリモートセッションが可能になりました。攻撃者は標準のファイル転送機能を使い、ソフトウェア資産一覧などの偵察用文書を外部へ持ち出しました。
別のツールBARECLAWは、WebSocket上でSOCKS5トンネリングを提供しました。攻撃者はHAProxyのルーティングを改変し、外部公開された特定のリクエストパスをトンネラーのローカルリスナーへ振り向けました。これにより、アクセス経路をアプライアンス既存のウェブ基盤に紛れ込ませています。
BeyondTrustによると、同社のセンサーは権限昇格をリアルタイムで検知していました。しかし、サードパーティの自動トリアージシステムがアラートを誤検知と判断し、誤ってクローズしました。
その後、独自の脅威ハンティングによって侵入が発覚しました。同社は、重大度の高いシグナルを追加の確認なしに自動クローズできないよう、制御を見直しています。
セキュリティチームは、直ちにパッチを適用し、管理インターフェースへのアクセスを制限し、外向きの通信を絞り込んだうえで、外部に転送されたログを保全してください。調査では大規模なログ削除が確認されており、アプライアンス上のローカルな証拠は不完全だったり、改ざんされていたりする可能性があります。
侵害の疑いがある場合は、再構築の前にフォレンジック証拠を保全してください。アプライアンスの安全を確保した後に、露出した認証情報をローテーションします。あわせて、不正な権限変更、不審なサポートセッション、ログ転送の欠落も確認してください。
Mandiantは、公表を受けてARMORY CASTLEが悪用を拡大する可能性があると警告しています。これは、インターネットに面した脆弱なエッジアプライアンスを世界中で狙ってきた同グループの過去の攻撃キャンペーンとも一致します。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/china-linked-critical-beyondtrust-zero-day/
