Zero-day, acceso root y un "túnel invisible": ciberespías chinos comprometieron a BeyondTrus

Los ciberspías chinos explotaron una vulnerabilidad desconocida en BeyondTrust, obtuvieron permisos root y ocultaron un canal de acceso dentro del tráfico web normal. Google reconstruyó la cadena de intrusión de la solución corporativa de soporte remoto.

El grupo ARMORY CASTLE, antes conocido como UNC5221, atacó dispositivos BeyondTrust Remote Support a finales de agosto de 2026. La vulnerabilidad CVE-2026-102764 permitía cargar archivos arbitrarios de forma remota sin autenticación. El fallo se hizo público solo el 15 de octubre.

Tras el acceso inicial, los atacantes instalaron un web shell PHP llamado SAWFLY. El script malicioso recibía comandos mediante solicitudes HTTP, los descifraba con RC4 y los ejecutaba en el servidor. Si la petición no contenía un parámetro especial, SAWFLY respondía con un código 404, como si la página solicitada no existiera. Así el script se ocultaba de los escáneres.

Al principio el web shell funcionaba con privilegios limitados de una cuenta de servicio. Luego los atacantes crearon una copia del intérprete del sistema con propietario root y el bit SUID, que permite ejecutar el archivo con los privilegios del propietario. Tras obtener el control total del dispositivo, los atacantes intentaron extraer contraseñas y claves mediante la utilidad incluida bt-secrets y borraron los registros de actividad.

Para conservar el acceso, ARMORY CASTLE modificó los ajustes de arranque del dispositivo. Un script especial al iniciarse añadía a la cuenta de servicio el derecho a ejecutar comandos administrativos sin contraseña. Los cambios afectaban la plantilla de configuración de sudo, por lo que los atacantes esperaban mantener privilegios incluso después de reiniciar el sistema.

El siguiente paso fue la propia consola de BeyondTrust. Empleando la cuenta administrativa comprometida, los atacantes ampliaron privilegios en las sesiones remotas y se conectaron a equipos internos. Mediante el mecanismo integrado de transferencia de archivos, los atacantes descargaron documentos útiles para el reconocimiento de la red, incluyendo información sobre el software instalado.

Un canal oculto adicional lo proporcionaba la herramienta BARECLAW, escrita en C. El túnel transmitía conexiones SOCKS5 sobre WebSocket, y la configuración modificada de HAProxy redirigía las solicitudes entrantes al puerto local 19800. El puerto no estaba expuesto externamente, por lo que un escaneo de red habitual no mostraba un proxy en funcionamiento.

En el análisis publicado, Mandiant vincula el ataque con el grupo chino de ciberespionaje ARMORY CASTLE. BeyondTrust confirmó dos dispositivos Remote Support comprometidos el 29 de agosto: uno en su propia nube y otro de un cliente. El desarrollador lanzó la corrección BT26-05 y advirtió que aplicar el parche no elimina los puntos de acceso ya creados por los atacantes.

Son vulnerables las versiones compatibles de Remote Support hasta la 26.2.3 inclusive. BeyondTrust corrigió automáticamente las instancias en la nube; los propietarios de sistemas locales necesitan actualizar y revisar rastros de intrusión. Los investigadores advierten sobre posibles ataques masivos tras la publicación de los detalles, pero por ahora se trata de un riesgo, no de una ola nueva confirmada.