Nhóm tin tặc liên hệ Trung Quốc khai thác lỗ hổng zero-day trên BeyondTrust Remote Support

Các nhà nghiên cứu từ Google Threat Intelligence Group (GTIG) vừa công bố báo cáo chi tiết về một chiến dịch gián điệp mạng tinh vi nhắm vào các thiết bị BeyondTrust Remote Support, do nhóm ARMORY CASTLE thực hiện.

Chi tiết về lỗ hổng zero-day CVE-2026-102764

Chiến dịch này được thực hiện bởi nhóm ARMORY CASTLE (trước đây được theo dõi với định danh UNC5221), một nhóm tin tặc được cho là có liên hệ với Trung Quốc. Kẻ tấn công đã tận dụng lỗ hổng zero-day CVE-2026-102764 để xâm nhập, leo thang đặc quyền lên root và thiết lập các cửa sau (backdoor) nhằm duy trì sự hiện diện lâu dài trong mạng lưới nạn nhân.

Lỗ hổng CVE-2026-102764 cho phép một kẻ tấn công từ xa không cần xác thực thực hiện các thao tác tệp tin trên thiết bị bị ảnh hưởng. Theo các chuyên gia, hoạt động khai thác diễn ra vào cuối tháng 8 năm 2026, trước khi BeyondTrust chính thức công bố lỗ hổng vào ngày 15 tháng 10. Kẻ tấn công đã gửi các yêu cầu POST độc hại tới đường dẫn /app_84304470%2Ephp để bắt đầu quá trình dàn dựng.

Phương thức xâm nhập và duy trì quyền lực

Khoảng 11 phút sau khi thực hiện yêu cầu ban đầu, một webshell PHP có tên mangoapi.php đã được tạo ra trong thư mục web-root. Webshell này, được đặt tên là SAWFLY, có cơ chế kiểm tra tham số _c94mfe trong các yêu cầu POST. Nếu tham số này không tồn tại, nó sẽ trả về mã lỗi 404, giúp kẻ tấn công né tránh các công cụ quét bảo mật thông thường. Khi tham số hợp lệ được cung cấp, mã độc sẽ giải mã dữ liệu, thực thi mã PHP và mã hóa kết quả trả về.

Sau khi chiếm được quyền truy cập ban đầu, nhóm tin tặc đã thực hiện leo thang đặc quyền từ tài khoản dịch vụ lên quyền root bằng cách sao chép /bin/sh sang /usr/bin/dbus-authd, thay đổi chủ sở hữu thành root và thiết lập quyền SUID. Kỹ thuật này cho phép bất kỳ người dùng nào thực thi tệp tin này với đặc quyền của root.

Để duy trì quyền truy cập sau khi khởi động lại, kẻ tấn công đã tạo một tập lệnh khởi động có tên zz-root-persist. Tập lệnh này tự động thêm tài khoản dịch vụ vào cấu hình sudoers với quyền không cần mật khẩu. Ngoài ra, kẻ tấn công còn sử dụng công cụ bt-secrets của BeyondTrust để đánh cắp thông tin xác thực từ kho lưu trữ bí mật của thiết bị.

Công cụ di chuyển ngang và biện pháp khắc phục

Để di chuyển sâu hơn vào mạng nội bộ, nhóm ARMORY CASTLE đã triển khai BARECLAW, một công cụ SOCKS5 tunneler tùy chỉnh hoạt động qua giao thức WebSockets. Công cụ này lắng nghe trên cổng TCP 19800 và được định tuyến thông qua cấu hình HAProxy với đường dẫn /uidchanarge, cho phép kẻ tấn công truy cập vào các thiết bị hạ tầng bên trong thông qua thiết bị BeyondTrust đã bị chiếm quyền.

BeyondTrust đã phát hành bản vá BT26-05 để giải quyết lỗ hổng này. Các tổ chức sử dụng phiên bản Remote Support lên đến 26.2.3 cần thực hiện cập nhật ngay lập tức. Đối với các hệ thống đã bị nghi ngờ xâm nhập, việc chỉ khởi động lại thiết bị là không đủ. Các chuyên gia khuyến nghị nên xây dựng lại thiết bị từ một hình ảnh sạch đã được vá lỗi.

Các quản trị viên cần kiểm tra kỹ các tệp tin lạ trong web-root, các tệp tin SUID bất thường, các thay đổi trong tệp sudoers và các thay đổi quyền quản trị viên đối với các Jump Items. Việc lưu trữ và phân tích nhật ký từ tường lửa và reverse-proxy là cực kỳ quan trọng để xác định phạm vi xâm nhập thực tế.