Phân tích chi tiết lỗ hổng zero-day CVE-2026-102764 trên BeyondTrust Remote Support

Một lỗ hổng bảo mật zero-day có mức độ nghiêm trọng cao trên nền tảng BeyondTrust Remote Support đã bị lợi dụng trong các cuộc tấn công thực tế từ cuối tháng 8, xảy ra trước thời điểm nhà phát hành công bố thông tin chi tiết và cung cấp bản vá chính thức.

Thông tin chi tiết về lỗ hổng CVE-2026-102764

Lỗ hổng này được ghi nhận với mã định danh CVE-2026-102764, tác động đến các phiên bản BeyondTrust Remote Support từ trước cho đến phiên bản 26.2.3. Theo phân tích từ nhà sản xuất cùng các chuyên gia nghiên cứu thuộc Mandiant, nguyên nhân cốt lõi xuất phát từ một thành phần nhắn tin nội bộ thiếu cơ chế kiểm tra nguồn gốc tin nhắn, tạo cơ hội cho kẻ tấn công không có quyền xác thực thực hiện các thao tác tệp tin trái phép trên hệ thống mục tiêu.

Các nhà nghiên cứu xác định nhóm gián điệp mạng có liên quan đến Trung Quốc mang tên ARMORY CASTLE (còn được gọi là UNC5221 hoặc WARP PANDA) là tác nhân đứng sau chiến dịch này. Nhóm này đã dùng lỗ hổng để xâm nhập thiết bị, nâng đặc quyền lên mức cao nhất là root và thu thập các thông tin xác thực quan trọng.

Phương thức tấn công và kỹ thuật leo thang đặc quyền

Ngay sau khi chiếm được quyền truy cập thông qua lỗ hổng, kẻ tấn công tiến hành tải lên một web shell PHP mang tên SAWFLY nhằm duy trì khả năng tương tác với thiết bị bị hại. Tiếp theo, chúng thực hiện leo thang từ tài khoản dịch vụ có quyền hạn thấp lên quyền root thông qua việc sao chép chương trình shell, điều chỉnh quyền sở hữu và kích hoạt các quyền thực thi đặc biệt.

Để đảm bảo sự hiện diện lâu dài trong mạng lưới, nhóm tấn công đã can thiệp vào các mẫu hệ thống bằng một tập lệnh khởi động, giúp tài khoản dịch vụ truy cập giao diện quản trị mà không cần mật khẩu xác thực. Đồng thời, công cụ BARECLAW được triển khai để tạo đường hầm mạng, kết hợp với việc thay đổi cấu hình reverse-proxy nhằm chuyển hướng lưu lượng truy cập web sang hệ thống của kẻ tấn công.

Biện pháp khắc phục và khuyến cáo phòng thủ

Các chuyên gia bảo mật nhấn mạnh rằng việc áp dụng bản vá chỉ giúp bịt kín điểm xâm nhập ban đầu. Do đó, các cơ quan, tổ chức từng vận hành các phiên bản dễ bị tổn thương cần coi như thiết bị đã bị xâm phạm và triển khai quy trình ứng cứu sự cố toàn diện.

Quá trình phòng thủ và săn tìm mối đe dọa cần tuân thủ các bước trọng tâm bao gồm: cập nhật phần mềm lên phiên bản BT26-05-RS đối với hệ thống tự lưu trữ; rà soát nhật ký thông qua các hệ thống tập trung như SIEM thay vì chỉ dựa vào log cục bộ; giám sát chặt chẽ các hoạt động quản trị bất thường, thay đổi tài khoản hoặc tệp tin script lạ. Nếu phát hiện dấu hiệu xâm nhập, quản trị viên cần lập tức cô lập thiết bị, khôi phục từ bản sao lưu an toàn, thay đổi toàn bộ thông tin xác thực và kiểm tra các hệ thống nội bộ liên quan.