BeyondTrust Remote Support Zero-Day ausgenutzt

Ein BeyondTrust Remote Support Zero-Day wird seit dem 29. August ausgenutzt, und die CISA hat die Lücke am 16. Oktober in den Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. Googles Mandiant ordnet die Angriffe Armory Castle zu, einer China-nahen Spionagegruppe, und rät, jede aus dem Internet erreichbare Appliance mit verwundbarer Version als möglicherweise kompromittiert zu behandeln, bis sie geprüft ist.

Was ist passiert

BeyondTrust hat am 15. Oktober das Advisory BT26-05 veröffentlicht. Die Lücke CVE-2026-102764 (CVSS 9,3) ist eine unzureichende Validierung des Nachrichtenursprungs in einer internen Messaging-Komponente. Ein Angreifer kann darüber aus der Ferne Dateioperationen auf der Appliance ausführen. Dieser BeyondTrust Remote Support Zero-Day betrifft alle Versionen bis einschließlich 26.2.3. Nach BeyondTrusts Zeitleiste begann die Ausnutzung am 29. August; die Berichte unterscheiden sich darin, ob an diesem Tag eine oder zwei Appliances betroffen waren. BeyondTrust entdeckte den Fehler am 28. September, einen Tag nachdem die Ausnutzung gegen einen anderen Anbieter von Sicherheitsgeräten öffentlich wurde. Ein Patch lag am 30. September vor und wurde am 8. Oktober ausgeliefert, nachdem weitere Ausnutzungspfade geschlossen worden waren. SaaS-Kunden waren Stand 9. Oktober gepatcht. Selbst gehostete Installationen mit 24.3.1 bis 26.2.3 brauchen den Patch BT26-05-RS; ältere Versionen müssen zuerst upgraden. Das BSI hat am 15. Oktober eine Warnung veröffentlicht.

Mandiant und Google Threat Intelligence beschreiben den weiteren Verlauf: eine schlanke PHP-Web-Shell namens SAWFLY, ein SOCKS5-Tunneler namens BARECLAW, Root-Zugriff über eine Kopie der System-Shell, Zugriffsversuche auf Zugangsdaten im Secrets-Speicher der Appliance und das Löschen von System-, Webserver- und Anwendungs-Logs. Danach nutzten die Angreifer die Remote-Support-Funktionen der Appliance, um nachgelagerte Systeme zu erreichen, und zogen über den integrierten Dateitransfer Software-Inventare von Benutzer-Desktops.

Warum das wichtig ist

Eine Remote-Support-Appliance ist ein vorab genehmigter Zugang zu jedem System, das sie verwaltet. Wer sie übernimmt, erbt den Zugriff Ihrer Support-Mitarbeiter, mit Sitzungen, die wie normale Helpdesk-Arbeit aussehen. BeyondTrust schätzt selbst ein, dass der Akteur einen Zero-Day gezielt gegen ausgewählte Ziele einsetzt und nach der Veröffentlichung der Lücke zur breiten Ausnutzung aller ungepatchten Instanzen übergeht; genau das ist die Lage Stand 19. Oktober.

Armory Castle (auch als UNC5221 und Warp Panda geführt) hat eine Vorgeschichte mit Edge-Appliances: Zero-Days in Citrix NetScaler, Ivanti Connect Secure und Dell RecoverPoint. Über die jüngsten Edge-Zero-Days zu Ivanti Connect Secure und Citrix NetScaler haben wir berichtet. Deutsche Opfer sind uns Stand 19. Oktober nicht bekannt. Einschätzung: IT-Dienstleister und IT-Abteilungen im Mittelstand, die eine selbst gehostete Remote-Support-Appliance betreiben, tragen die Exposition, und ihre Kunden erben sie.

Was Sie jetzt tun sollten

1. Patchen. BT26-05-RS auf selbst gehostetem Remote Support 24.3.1 bis 26.2.3 einspielen; ältere Versionen müssen zuerst upgraden. SaaS-Instanzen hat BeyondTrust Stand 9. Oktober gepatcht. Die CISA setzte US-Bundesbehörden eine Frist bis zum 19. Oktober.
2. Entscheiden, ob Sie von einer Kompromittierung ausgehen. War die Appliance seit Ende August mit 26.2.3 oder älter aus dem Internet erreichbar, behandeln Sie sie wie von Mandiant empfohlen als möglicherweise kompromittiert. Externen Zugriff auf die tatsächlich benötigten Dienste beschränken.
3. Suchen. Nach /usr/bin/dbus-authd suchen (eine root-eigene Kopie der Shell mit gesetztem SUID-Bit), nach unerwarteten Änderungen an /ns/config/haproxy.conf, fehlenden oder gekürzten Logs, Administratorkonten oder Berechtigungen, die Sie nicht geändert haben, sowie nach Remote-Sitzungen oder Dateitransfers zu Jump Items, die niemand gestartet hat.
4. Eindämmen und neu aufbauen. Zuerst Snapshot oder Abbild ziehen, die Appliance isolieren, aus einem bekannt guten Zustand mit angewendetem Patch neu aufbauen und anschließend jedes auf der Appliance gespeicherte Passwort und jeden API-Schlüssel erneuern. Mandiant hat beobachtet, dass die Angreifer diesen Speicher gelesen haben.

DIESEC Einschätzung

Das Muster bei den Appliance-Zero-Days dieses Monats ist dasselbe: Patchen kommt zuerst, aber Zugangsdaten erneuern und die Appliance neu aufbauen machen den Großteil des Aufwands. Remote-Support-Werkzeuge gehören außerdem auf Ihre Lieferanten-Checkliste. Fragen Sie die Dienstleister, die an Ihr Netz kommen, ob deren Appliance diesen Herbst mit 26.2.3 oder älter lief.

Nicht sicher, ob Ihre Remote-Support-Appliance seit August exponiert war? Kontaktieren Sie DIESEC für eine schnelle Expositions- und Kompromittierungsanalyse Ihrer Remote-Access-Appliances.

Quellen: The Hacker News | SecurityWeek | BSI | Canadian Cyber Centre | BeyondTrust
Veröffentlicht: 2026-10-20 | Kategorie: Tägliche News | ~4 Min. Lesezeit