中国系スパイ組織、BeyondTrustのサポートツールのゼロデイ脆弱性を悪用

Google Threat Intelligence Group(GTIG)が木曜日に公開した報告書によると、中国との関連が疑われるハッカーが、8月下旬からBeyondTrust Remote Supportのゼロデイ脆弱性を悪用し、スパイ活動を展開していました。

「Armory Castle」の名で追跡されているこのハッカーは、独自のバックドアを展開しました。さらに、同サポートツールの管理者権限を悪用して認証情報を収集し、機密情報を盗み出すことで、偵察活動を進めていました。

重大な脆弱性はCVE-2026-102764として追跡されています。Remote Supportの内部コンポーネントがメッセージの送信元を確認できないことに起因する問題です。特定の条件下では、攻撃者が影響を受けるアプライアンス上でファイル操作を実行できます。

BeyondTrustは10月9日にパッチを公開しました。パッチはSaaS(Software as a Service)の顧客には自動的に適用されています。自動アップグレードに登録していないセルフホスト型の顧客は、直ちに手動でアップグレードする必要があるとBeyondTrustは述べています。

BeyondTrustのブログ記事によると、この脅威活動が発覚したのは9月下旬です。GTIGのインシデント対応部門であるMandiantが、別ベンダー製品のエッジデバイスを狙うゼロデイ脆弱性を調査していた際に見つかりました。

Mandiantからの通知を受けたBeyondTrustは、影響を受けたSaaSインスタンスを特定しました。悪用の開始時期は8月下旬までさかのぼることが判明しています。

GTIGのシニアマネージャーであるKelli Vanderlee氏はCybersecurity Diveの取材に対し、次のように述べています。「現時点で把握している影響組織はごく少数です。ただ、活動が巧妙に隠されていたことやゼロデイが使われていたことを踏まえると、公表前に侵害された組織がほかにも存在する可能性があります」

このハッカーは以前「UNC5221」として追跡されていた既知のスパイ組織です。BeyondTrustの投稿によると、法律サービス、政府機関、テクノロジー企業、SaaSベンダー、ビジネスプロセスアウトソーサー(BPO)などを標的にしてきました。

Arctic Wolfの敵対的オペレーション担当ディレクター、Justin Moore氏はCybersecurity Diveに次のように語りました。「Armory Castleは、エッジ機器やリモートアクセス技術が、国家支援の攻撃者にとって依然として最も価値の高い標的の一つであることを示す典型例です。これらの機器は企業ネットワークの境界に位置し、その内側にある資産への特権アクセスを握っているからです」

痕跡を残さない手口

今回、攻撃者はこれまで確認されていない独自のマルウェアを展開しました。Mandiantによると、その中にはPHP製のWebシェル「Sawfly」が含まれ、暗号化されたC2通信を可能にしていました。攻撃者はホストのroot権限を取得し、アプライアンスに保存されていたすべての認証情報にアクセスできる状態でした。独自開発のSOCKS5プロキシトンネラー「Bareclaw」も展開されていました。

攻撃者は認証情報を収集するため、アプライアンス上のシークレット管理データベースを狙いました。さらに横展開して管理者権限を取得し、ファイルにアクセスしました。偵察の一環として、BeyondTrust標準のファイル転送サービスを使い、機密情報をダウンロードしていました。

この攻撃者は、CrowdStrikeが「Warp Panda」として追跡しており、2023年から活動しています。Mandiantは以前にも同じ攻撃者を追跡していました。Ivanti Connect Secureの重大な脆弱性CVE-2025-22457を標的とした攻撃キャンペーンです。

BeyondTrustは、管理用インターフェースへのアクセスを信頼できるネットワークに限定し、攻撃にさらされるリスクを減らすよう顧客に呼びかけています。このハッカーは過去の攻撃でフォレンジック証拠を削除していました。そのため、セキュリティチームはアプライアンスのシステムログとセッションイベントを、SIEM(セキュリティ情報イベント管理)プラットフォームに転送することも推奨されています。