BeyondTrust Remote Support sıfırıncı gün açığı Çin bağlantılı casusluk grubuna bağlandı

Uzaktan destek yazılımı BeyondTrust Remote Support'ta bulunan kritik bir açığın, Çin bağlantılı olduğundan şüphelenilen bir casusluk grubu tarafından sıfırıncı gün olarak kullanıldığı ortaya çıktı. Google Threat Intelligence Group (GTIG) ve Mandiant'ın 16 Ekim'de yayımladığı analize göre saldırılar 29 Ağustos 2026'da başladı.

Açık ve etkilenen sürümler

CSO Online'ın aktardığına göre açık CVE-2026-102764 kimliğiyle ve BeyondTrust'ın BT26-05 bülteniyle takip ediliyor. CVSS 4.0 puanı 9.3 olan açık, kimlik doğrulaması yapılmamış bir saldırganın dosya işlemleri üzerinden cihazın tamamını ele geçirmesine imkân tanıyor. 26.2.3 ve öncesi Remote Support sürümleri etkileniyor; yama 8 Ekim'de yayımlandı, SaaS örnekleri 9 Ekim'de otomatik olarak güncellendi.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

ARMORY CASTLE kim?

Mandiant, daha önce UNC5221 olarak izlediği grubu artık ARMORY CASTLE adıyla anıyor. CrowdStrike aynı kümeyi WARP PANDA olarak takip ediyor. GTIG'e göre grup en az Ekim 2023'ten beri aktif ve uzun vadeli istihbarat toplamaya odaklanıyor. BeyondTrust da faaliyetin devlet destekli bir casusluk operasyonu olduğu değerlendirmesine katılıyor.

Bildirilen saldırı zincirinde ilk istekten yaklaşık 11 dakika sonra cihazın web köküne SAWFLY adlı bir PHP web shell yerleştirildi. Saldırganlar yetki yükseltme, yeniden başlatmalara dayanıklı kalıcılık, kimlik bilgisi kasasını boşaltma girişimleri ve onlarca günlük dosyasının silinmesi gibi adımlar attı. Ayrıca BARECLAW adlı özel bir SOCKS5 tünelleme aracı kullanıldı. Dikkat çekici bir ayrıntı da, olaydan önce bir üçüncü taraf tespit platformunun otomatik triyaj mekanizmasının ilgili uyarıları yanlış pozitif diyerek kapatmış olması.

Neden önemli?

GTIG, ARMORY CASTLE'ın uç cihazlardaki sıfırıncı gün açıklarını istismar etmeye devam edeceğini yüksek güvenle değerlendiriyor. Uzaktan destek araçları, ele geçirildiğinde bağlı olduğu tüm sistemlere erişim sağladığı için tedarik zinciri riski taşıyor.

Ne yapılmalı?

• Kendi barındırdığınız Remote Support cihazlarına BT26-05 yamasını hemen uygulayın; eski sürümler önce yükseltilmeli.
• İstismar penceresinde internete açık olan cihazları, inceleme tamamlanana kadar ele geçirilmiş kabul edin.
• Şüpheli cihazları yeniden başlatmadan önce anlık görüntü alın, gerekirse temiz imajdan yeniden kurun.
• Kimlik bilgilerini ancak yama uygulandıktan sonra değiştirin.
• Yüksek önemdeki uyarıların otomatik olarak kapatılmasına izin veren triyaj kurallarını gözden geçirin.