Uma vulnerabilidade zero-day no BeyondTrust Remote Support, identificada como CVE-2026-102764, colocou equipes de segurança da informação em alerta após a descoberta de ataques que exploravam a falha desde o final de agosto de 2026. O problema afeta uma plataforma corporativa utilizada por equipes de TI para acessar computadores remotamente, prestar suporte técnico e administrar ambientes empresariais.
A investigação conduzida pela Mandiant e pelo Google Threat Intelligence Group (GTIG) identificou atividades atribuídas ao grupo de espionagem ARMORY CASTLE, suspeito de atuar em operações ligadas à China. Os ataques envolveram a instalação de ferramentas maliciosas, a obtenção de privilégios administrativos e a criação de mecanismos para manter o acesso aos sistemas comprometidos.
O caso evidencia os riscos de manter ferramentas de suporte remoto expostas sem correções atualizadas. Como essas plataformas frequentemente possuem acesso privilegiado a servidores, estações de trabalho e credenciais corporativas, uma invasão pode servir como ponto de partida para comprometer outros ativos da rede.
Como funciona a vulnerabilidade CVE-2026-102764
A falha CVE-2026-102764 recebeu pontuação 9,3 de 10 no CVSS 4.0, classificação considerada crítica. Segundo o comunicado oficial da BeyondTrust, o problema está em um componente interno de mensagens do Remote Support que não valida adequadamente a origem das mensagens recebidas. Em determinadas condições, isso permite que um invasor remoto execute operações com arquivos no dispositivo sem precisar se autenticar.
O risco não se limita à manipulação de arquivos. Como o dispositivo atua como intermediário para sessões remotas e pode armazenar credenciais privilegiadas, a exploração bem-sucedida pode abrir caminho para o controle do equipamento e para o acesso a outros recursos corporativos.
Versões afetadas: todas as versões do BeyondTrust Remote Support até a 26.2.3, inclusive. A correção é fornecida pelo pacote BT26-05-RS, compatível com as versões 24.3.1 a 26.2.3.
A BeyondTrust informou que os ambientes SaaS receberam a correção em 9 de outubro de 2026. Nas instalações auto-hospedadas, a aplicação manual pode ser necessária, dependendo das configurações de atualização.
Grupo Armory Castle usa malware para manter o acesso
O grupo ARMORY CASTLE, também conhecido como UNC5221 e associado pela CrowdStrike ao nome WARP PANDA, é suspeito de realizar operações de espionagem ligadas à China. Seu histórico inclui a exploração de vulnerabilidades em dispositivos de borda de rede, incluindo produtos da Citrix e da Ivanti.
Na investigação do BeyondTrust, os pesquisadores identificaram duas ferramentas personalizadas: SAWFLY, um web shell em PHP utilizado para executar comandos remotamente, e BARECLAW, um tunelador que encaminha conexões TCP por meio de um proxy SOCKS5 sobre WebSocket.
O SAWFLY ajudou os invasores a manter um ponto de acesso persistente no dispositivo. Já o BARECLAW permitiu encaminhar tráfego para outros destinos, criando condições para reconhecimento da rede e movimentação lateral.
A cadeia de ataque também envolveu a escalada de privilégios por meio de permissões SUID no Linux. Os invasores copiaram o executável /bin/sh para outro caminho, atribuíram sua propriedade ao usuário root e configuraram a permissão SUID. Com isso, conseguiram obter privilégios elevados no equipamento comprometido.
Além disso, foram observadas tentativas de acesso a credenciais administrativas, alterações de permissões de usuários e exclusão de registros. Essas ações dificultam a reconstrução da invasão e aumentam o risco de comprometimento de outros sistemas.
Como corrigir a vulnerabilidade e investigar uma invasão
A primeira medida é verificar a versão instalada do Remote Support e confirmar a aplicação do pacote corretivo. Nas instalações auto-hospedadas, administradores devem acessar a interface de administração em /appliance e aplicar o BT26-05-RS, caso a correção ainda não esteja instalada.
Instalações anteriores à versão 24.3.1 precisam ser atualizadas para uma versão compatível antes da aplicação do pacote. Se o patch não estiver disponível na interface, a orientação é procurar o suporte oficial da BeyondTrust.
Entretanto, atualizar o sistema não elimina necessariamente uma invasão anterior. Equipamentos que ficaram acessíveis pela internet enquanto executavam versões vulneráveis devem ser tratados como potencialmente comprometidos até a conclusão de uma investigação.
A análise deve incluir registros de acesso, arquivos suspeitos, alterações de permissões, sessões administrativas e modificações nas configurações de inicialização. Os nomes mangoapi.php, associado ao SAWFLY, e ingredi_ws, associado ao BARECLAW, podem ajudar na busca por indicadores de comprometimento, mas não devem ser usados como únicos critérios de detecção.
Quando houver suspeita de invasão, preserve as evidências, restrinja o acesso ao equipamento e avalie a necessidade de reconstruí-lo a partir de uma instalação confiável. Também é necessário revogar sessões, trocar credenciais e revisar as contas e os sistemas que utilizavam o dispositivo para suporte remoto.
Por fim, a equipe deve investigar possíveis conexões com outros ativos da rede. A combinação de privilégios elevados, credenciais armazenadas e túneis de comunicação pode transformar um único equipamento comprometido em uma porta de entrada para uma invasão mais ampla.
O que o incidente revela sobre a segurança corporativa
A exploração da vulnerabilidade no BeyondTrust demonstra por que ferramentas administrativas exigem proteção reforçada. Esses sistemas concentram acessos privilegiados e podem fornecer aos invasores informações sobre a infraestrutura, além de meios para alcançar outros dispositivos.
Para reduzir os riscos, organizações devem manter o software atualizado, restringir o acesso às interfaces administrativas, habilitar autenticação multifator quando disponível, limitar privilégios e centralizar os registros em uma plataforma protegida contra alterações.
Verifique a versão do BeyondTrust Remote Support em sua organização, aplique a correção e investigue qualquer exposição anterior ao patch. Compartilhe o alerta com as equipes de infraestrutura, redes e segurança da informação, especialmente se sua empresa mantém servidores de suporte remoto acessíveis pela internet.
