BeyondTrust — Explotación Zero-Day en Remote Support por el Grupo Armory Castle (CVE-2026-102764)

Fecha de publicación: 16 de octubre de 2026
Categoría: Zero-Day / Vulnerability

Introducción

A finales de agosto de 2026, el grupo de ciberespionaje con vínculos en China conocido como Armory Castle (anteriormente rastreado como UNC5221 o Warp Panda) llevó a cabo una campaña dirigida utilizando una vulnerabilidad de día cero (zero-day) en la solución BeyondTrust Remote Support (antiguamente conocida como Bomgar). El fallo, catalogado oficialmente como CVE-2026-102764, permitió al actor de amenaza comprometer dispositivos locales (self-hosted), desplegar webshells ligeros en PHP, extraer credenciales nativas y establecer túneles de comunicación para la exfiltración silenciosa de datos en sectores críticos como tecnología, servicios legales y gubernamentales.

¿Qué es CVE-2026-102764? (Análisis General)

La vulnerabilidad CVE-2026-102764 reside en los componentes de mensajería interna del producto BeyondTrust Remote Support. De acuerdo con la información oficial validada en la Base de Datos Nacional de Vulnerabilidades (NVD), el fallo ocurre debido a que dichos componentes no validan adecuadamente el origen de los mensajes recibidos. Bajo las condiciones de ejecución correctas, esta deficiencia permite a un atacante remoto no autenticado realizar operaciones de archivo arbitrarias directamente sobre el dispositivo afectado.

  • Puntuación Oficial CVSS v4.0: 9.3 (CRITICAL)
  • Vector CVSS Oficial: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (Hecho confirmado por NVD)
  • Clasificación CWE Oficial: CWE-290 (Authentication Bypass by Spoofing) (Hecho confirmado por NVD)
  • Catálogo CISA KEV: No reportado en el catálogo activo al momento del análisis.

Este tipo de vulnerabilidad representa un vector de riesgo crítico, ya que compromete la integridad y confidencialidad del appliance perimetral, el cual suele tener conectividad directa con redes internas y clientes externos para tareas de soporte técnico.

¿Cómo funciona? (Análisis Técnico)

La campaña ejecutada por Armory Castle destaca por su uso selectivo inicial de la zero-day y su posterior transición a la explotación generalizada una vez que la información se hizo pública. El ciclo de ataque comprende múltiples fases desde la brecha inicial hasta el establecimiento de persistencia profunda.

  • Flujo inicial de infección / entrada del exploit: El actor aprovecha la falta de validación de origen en los mensajes internos para enviar peticiones manipuladas a través de la interfaz expuesta, logrando la ejecución de operaciones de archivos que sirven como cabeza de playa.
  • Mecanismos de persistencia y escalada de privilegios: Tras el compromiso inicial, los atacantes despliegan un web shell ligero escrito en PHP llamado SAWFLY para lograr acceso interactivo y control de comandos cifrado bidireccional. Posteriormente, obtienen control a nivel de root copiando el shell del sistema (/bin/sh) a la ruta /usr/bin/dbus-authd, modificando su propiedad a root y activando los permisos Set User ID (SUID).
  • Cosecha de credenciales y movimiento lateral: Utilizan la utilidad de línea de comandos nativa /ns/sbin/bt-secrets para extraer contraseñas, claves API y credenciales de endpoints almacenadas en la base de datos de secretos del appliance. Modifican las plantillas de configuración para obtener privilegios root sin contraseña en la cuenta de servicio del sitio y realizan reconocimiento pivotando hacia sistemas internos mediante la lista de Jump Items.
  • Evasión y túneles de comunicación: Para enrutar el tráfico de red, los operadores implementan BARECLAW, un proxy SOCKS5 personalizado desarrollado en C que reconecta conexiones TCP entre clientes remotos y destinos internos, modificando el archivo /ns/config/haproxy.conf para garantizar acceso directo desde internet. Finalmente, suprimen los rastros borrando sistemáticamente los registros del sistema, del servidor web y de la aplicación.

Sistemas / Entornos Afectados

El impacto de esta vulnerabilidad recae sobre los clientes que operan despliegues locales (self-hosted) de BeyondTrust Remote Support, además del historial del grupo contra otros appliances perimetrales.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-102764 CWE-290 Ejecución de operaciones de archivo / Control del appliance 9.3 (Critical) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVE-2023-4966 CWE-119 Divulgación de información sensible (Citrix Bleed) 9.4 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
CVE-2023-46805 CWE-287 Omisión de autenticación en Ivanti ICS 8.2 (High) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CVE-2024-21887 CWE-77 Inyección de comandos en componentes web de Ivanti 9.1 (Critical) CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVE-2025-0282 CWE-121, CWE-787 Desbordamiento de búfer basado en pila (RCE en Ivanti) 9.0 (Critical) CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
  • Versiones vulnerables de BeyondTrust: Clientes con instalaciones autohospedadas en versiones comprendidas desde la 24.3.1 hasta la 26.2.3. Versiones anteriores a 24.3.1 requieren una actualización mayor previa a la aplicación del parche.
  • Organizaciones objetivo: Proveedores de servicios gestionados, firmas legales, organizaciones tecnológicas y entidades gubernamentales enfocadas en la recolección de inteligencia a largo plazo.

Mitigación y Detección

Remediación

  • Actualización inmediata: BeyondTrust ha liberado parches automáticos para clientes SaaS y el parche específico BT26-05-RS para clientes autohospedados en las versiones afectadas. Se debe aplicar la actualización de forma prioritaria.
  • Revisión de exposición previa: Cualquier appliance autohospedado que haya permanecido accesible desde internet en una versión vulnerable durante la ventana de exposición debe considerarse potencialmente comprometido hasta completar una auditoría forense exhaustiva.

Detección

  • Monitoreo de procesos y archivos: Inspeccionar la presencia del binario alterado en /usr/bin/dbus-authd con permisos SUID y buscar artefactos del web shell PHP SAWFLY.
  • Análisis de red: Monitorear conexiones anómalas asociadas al proxy SOCKS5 personalizado BARECLAW y modificaciones no autorizadas en /ns/config/haproxy.conf.

“El actor de amenaza utiliza vulnerabilidades zero-day de manera selectiva contra objetivos elegidos y, una vez que la vulnerabilidad se hace pública, evoluciona hacia una explotación masiva de todas las instancias que permanecen sin parches.”

Recapitulando

La explotación del fallo CVE-2026-102764 en BeyondTrust Remote Support por parte de Armory Castle subraya la sofisticación y persistencia de los grupos de ciberespionaje patrocinados por estados. Al combinar la investigación previa de software de alto valor con herramientas modulares como web shells y túneles proxy personalizados, los atacantes logran burlar los perímetros de seguridad tradicionales. La rápida aplicación de parches y la revisión forense profunda de los dispositivos expuestos son medidas indispensables para mitigar el riesgo operativo.

Referencias