中国系ハッカーがBeyondTrustのゼロデイ脆弱性を悪用

BeyondTrustの利用企業にとって、問題はパッチ適用だけにとどまりません。Mandiantによると、中国系とみられるスパイ集団が、Remote Supportの重大な脆弱性をゼロデイとして悪用しました。攻撃者はroot権限を奪取し、保存された認証情報の窃取を試み、下流のシステムにもアクセスしていました。

Googleは、ARMORY CASTLEが8月下旬にCVE-2026-102764を悪用したと説明しています。脆弱性の詳細が公開されたことで、攻撃が拡大する可能性があるとして警告しました。BeyondTrustはこの脆弱性の深刻度をCVSS 9.3の「Critical」と評価しており、影響を受けるのはRemote Supportのバージョン26.2.3以前です。SaaS版の顧客には10月9日までにパッチが適用されました。セルフホスト版の顧客は、BT26-05-RSがインストールされているかを確認する必要があります。

中国系ハッカーがリモートサポートをroot権限の足がかりに

Reutersによると、GoogleとMandiantは8月の悪用をARMORY CASTLEの仕業と結び付けました。ARMORY CASTLEは、中国系とみられる脅威グループです。攻撃が成功すると、攻撃者は認証情報にアクセスし、任意のファイルをアップロードできるようになります。さらに、影響を受けたホストを制御下に置くことも可能になりました。

The Hacker NewsはMandiantの情報として、攻撃者がPHP Webシェル「SAWFLY」を設置し、権限をrootに昇格させたと報じています。攻撃者はBeyondTrustのネイティブなシークレットデータベースから認証情報を窃取しようとしたほか、Remote Supportの権限設定を変更して下流のシステムにアクセスしました。その後、トンネリングツール「BARECLAW」を展開し、検知を困難にするためにシステム、Webサーバー、アプリケーションのログを削除しています。

防御側が懸念すべきなのは、アプライアンス自体にとどまりません。Remote Supportは管理者が他のエンドポイントにアクセスするための製品です。そのため、侵害されたサーバーは、組織がすでに信頼しているシステムへの侵入経路になり得ます。

CVE-2026-102764はRemote Support 26.2.3以前に影響

BeyondTrustによると、CVE-2026-102764は内部メッセージングコンポーネントにおけるオリジン検証の不備です。特定の条件下では、リモートの攻撃者がこの脆弱性を利用し、影響を受けるアプライアンス上でファイル操作を実行できます。同社はこの脆弱性を、CVSS v4.0スコア9.3の「Critical」と評価しています。

影響を受けるのは、26.2.3までのすべてのRemote Supportバージョンです。BeyondTrustは、10月9日までにすべてのSaaS顧客へパッチを適用したと説明しています。バージョン24.3.1から26.2.3を実行しているセルフホスト版の顧客は、BT26-05-RSを適用するか、自動更新でインストールされたかを確認してください。それより古いリリースを使用している場合は、パッチを適用する前にアップグレードが必要です。

BeyondTrustはまた、セルフホスト版のPrivileged Remote Accessアプライアンスについても、予防的なパッチ適用を推奨しています。影響を受けるコードが共通しているためです。同社によると、テストではこの製品で脆弱性を悪用する方法は確認されていません。

パッチ適用は第一歩にすぎない

Googleは、脆弱性の公開によって機会を狙った攻撃が広がる恐れがあると警告しました。インターネットに公開されたBeyondTrustアプライアンスは、より優先度の高い標的になります。

Infosecurity Magazineは、侵害の可能性がある組織は、変更を加える前にテレメトリを保全すべきだと指摘しています。侵害が確認された場合や、否定できない場合には、アプライアンスの再構築が必要になることもあります。

セキュリティチームにとって、BT26-05-RSを適用すれば脆弱性は塞がりますが、すでに起きた可能性のある不正活動が取り消されるわけではありません。

ARMORY CASTLEは、侵害したRemote Supportアプライアンスを足がかりに、特権認証情報を入手し、永続化を確立し、プラットフォーム経由で管理されるシステムにまで到達できることを示しました。そのため、パッチ適用前にアプライアンスが悪用されていなかったかを、組織は確認する必要があります。

セキュリティチームは、次の3点を優先して実施してください。

• パッチ適用状況の確認: セルフホスト版のRemote SupportアプライアンスにBT26-05-RSが適用されているかを確認します。24.3.1より古いバージョンは、パッチ適用前にアップグレードが必要です。
• 侵害の調査: 権限の変更、ログの欠落、プロキシや起動設定の改変、不審な管理者権限、SAWFLYやBARECLAWの痕跡を確認します。想定外のリモートセッションやファイル転送がなかったかも調べてください。
• 影響を受けたシステムの封じ込め: アプライアンスの通信を制限し、アクティブなサポートセッションを終了し、漏えいした可能性のある認証情報をローテーションします。侵害が確認された場合や否定できない場合は、パッチ適用済みのクリーンなイメージから再構築します。

リスクはRemote Supportアプライアンス自体にとどまりません。この製品は他のエンドポイントへの特権アクセスを仲介できます。そのため、窃取された認証情報や維持された管理者アクセスがあれば、元の脆弱性にパッチを適用した後でも、攻撃者は別のシステムへ侵入できる可能性があります。

悪用が行われた期間中に、影響を受けるバージョンのアプライアンスをインターネットに公開していた組織は、パッチ適用と侵害の評価を別個の作業として扱うほうが安全です。まず修正が適用されたことを確認します。次に、適用前に攻撃者がアクセスしていなかったかを調べ、認証情報、セッション、下流のシステムにも対処が必要かを判断してください。

関連記事: 中国系のスパイ活動は、アジア各国の政府機関も標的にしています。Cisco Talosは、UAT-11587が、Antinoバックドア、クラウドインフラ、Microsoft 365をコマンド＆コントロールに使い、11カ月にわたる作戦を展開したと結び付けました。