Phân tích lỗ hổng Zero-day CVE-2026-102764 trên BeyondTrust Remote Support

• Lỗ hổng nghiêm trọng: CVE-2026-102764 cho phép kẻ tấn công không cần xác thực thực thi các thao tác tệp tin trên thiết bị BeyondTrust Remote Support.
• Tác nhân đe dọa: Nhóm gián điệp mạng ARMORY CASTLE (còn được biết đến với tên gọi UNC5221 hoặc WARP PANDA) đã sử dụng lỗ hổng này từ cuối tháng 8.
• Hệ quả: Kẻ tấn công có khả năng leo thang đặc quyền lên root, cài đặt web shell và thiết lập quyền truy cập bền vững (persistence) vào mạng nội bộ.
• Khuyến nghị: Người dùng cần cập nhật ngay lên phiên bản BT26-05-RS và kiểm tra các dấu hiệu xâm nhập bất thường trong nhật ký hệ thống.

Một lỗ hổng zero-day nghiêm trọng trong giải pháp BeyondTrust Remote Support đã bị khai thác trong thực tế từ cuối tháng 8, nhiều tuần trước khi nhà sản xuất công bố chi tiết và phát hành bản vá. Các nhà nghiên cứu bảo mật từ Mandiant xác định nhóm gián điệp mạng có liên hệ với Trung Quốc, được định danh là ARMORY CASTLE, đã sử dụng lỗ hổng này để truy cập vào các thiết bị, leo thang đặc quyền lên root và chiếm đoạt các thông tin xác thực nhạy cảm được lưu trữ trong hệ thống.

Chi tiết kỹ thuật về lỗ hổng CVE-2026-102764

Lỗ hổng được định danh là CVE-2026-102764, ảnh hưởng đến các phiên bản BeyondTrust Remote Support lên đến và bao gồm cả bản 26.2.3. Theo thông tin từ nhà sản xuất, nguyên nhân gốc rễ của lỗ hổng nằm ở một thành phần nhắn tin nội bộ (internal messaging component) không thực hiện kiểm tra tính hợp lệ của nguồn gốc tin nhắn, tạo điều kiện cho kẻ tấn công không cần xác thực thực hiện các thao tác tệp tin trái phép.

Chuỗi tấn công và kỹ thuật leo thang đặc quyền

Sau khi khai thác thành công lỗ hổng, kẻ tấn công đã tải lên một web shell PHP có tên là SAWFLY để tương tác với thiết bị. Từ đây, chúng thực hiện leo thang đặc quyền từ tài khoản dịch vụ (low-privilege service account) lên quyền root bằng cách sao chép chương trình shell, thay đổi quyền sở hữu sang root và kích hoạt các bit cho phép thực thi với đặc quyền của chủ sở hữu.

Để duy trì sự hiện diện lâu dài, nhóm tấn công đã sửa đổi các mẫu hệ thống (system templates) thông qua một tập lệnh khởi động, cho phép tài khoản dịch vụ truy cập quản trị mà không cần mật khẩu. Ngoài ra, công cụ BARECLAW đã được sử dụng để thiết lập đường hầm mạng, kết hợp với việc thay đổi cấu hình reverse-proxy để điều hướng lưu lượng truy cập web đến tunneler của kẻ tấn công.

⚠️ Cảnh báo quan trọng: Việc vá lỗi chỉ đóng lại điểm xâm nhập ban đầu. Các tổ chức cần giả định rằng thiết bị đã bị xâm nhập nếu từng chạy phiên bản dễ bị tổn thương và thực hiện quy trình ứng cứu sự cố đầy đủ thay vì chỉ xóa tệp tin nghi vấn.

Hướng dẫn phòng thủ và săn tìm mối đe dọa

Các chuyên gia an ninh mạng khuyến cáo các tổ chức cần thực hiện ngay các bước sau để đảm bảo an toàn:

• Cập nhật phần mềm: Áp dụng bản vá BT26-05-RS cho các thiết bị tự lưu trữ (self-hosted). Đối với các phiên bản cũ hơn 24.3.1, cần nâng cấp lên phiên bản hỗ trợ trước khi áp dụng bản vá.
• Kiểm tra nhật ký: Rà soát nhật ký từ các hệ thống tập trung (SIEM/Logging server) thay vì chỉ dựa vào nhật ký cục bộ trên thiết bị, vì kẻ tấn công đã xóa dấu vết trên thiết bị bị xâm nhập.
• Giám sát hành vi: Tìm kiếm các phiên quản trị lạ, thay đổi quyền tài khoản bất thường, các tệp tin script không xác định và các khoảng trống trong việc chuyển tiếp nhật ký (log forwarding).
• Xử lý sau sự cố: Nếu xác nhận bị xâm nhập, cần cô lập thiết bị, khôi phục từ bản sao lưu sạch, xoay vòng toàn bộ thông tin xác thực (credentials) đã được lưu trữ trên thiết bị và điều tra các hệ thống nội bộ mà thiết bị này có quyền truy cập.

Để biết thêm thông tin chi tiết về các chiến dịch tương tự, bạn có thể tham khảo tài liệu từ MITRE ATT&CK về các kỹ thuật tấn công vào thiết bị biên (edge appliances). Việc duy trì cảnh giác và thực hiện vá lỗi kịp thời là yếu tố then chốt để ngăn chặn các cuộc tấn công gián điệp mạng nhắm vào hạ tầng quan trọng.