Grupo chino de espionaje explota un zero-day en BeyondTrust

Un grupo de amenazas vinculado a China, identificado como Armory Castle, ha explotado una vulnerabilidad de día cero en productos de BeyondTrust. Los investigadores de Mandiant y Google han detectado tácticas avanzadas de evasión y escalada de privilegios en ataques activos desde finales de agosto.

Se sospecha que hackers chinos con una habilidad probada para explotar vulnerabilidades de día cero en productos de seguridad han vuelto a actuar, atacando a clientes de BeyondTrust en ataques que los investigadores rastrearon hasta finales de agosto.

Detalles del actor de amenazas y la vulnerabilidad Investigadores de Mandiant informaron que un grupo de espionaje probablemente respaldado por el gobierno chino, que anteriormente rastrearon como UNC5221 y ahora denominan Armory Castle, explotó el defecto crítico — CVE-2026-102764 — y mostró múltiples tácticas para escalar privilegios, moverse por la red comprometida y evadir la detección.

Este mismo grupo de amenazas ha explotado repetidamente una serie de fallos en productos de Ivanti desde 2023, un día cero en Citrix NetScaler ampliamente conocido como CitrixBleed, y la campaña Brickstorm del año pasado que tuvo un tiempo de permanencia promedio de 400 días; todos ellos resultaron en oleadas de ataques masivos.

Respuesta de la industria y despliegue de parches «Somos conscientes de solo un pequeño número de organizaciones afectadas en este momento, pero dada la sigilo de la actividad y el uso de un día cero, es posible que otras organizaciones también fueran comprometidas antes de la divulgación», afirmó Kelli Vanderlee, analista sénior en el Grupo de Inteligencia de Amenazas de Google (GTIG), en un correo electrónico.

Mandiant advirtió a las organizaciones para que se "preparen para una posible explotación generalizada", añadiendo que Armory Castle y otros grupos de amenazas anteriormente realizaron explotaciones amplias y oportunistas tras las divulgaciones públicas de vulnerabilidades.

Mandiant y GTIG publicaron su análisis de Armory Castle y su campaña más reciente mientras BeyondTrust divulgaba públicamente la vulnerabilidad en su producto de Soporte Remoto el jueves. El equipo de seguridad de la empresa informó que lanzó un parche para el fallo explotado para clientes con alojamiento propio el 8 de octubre y aplicó automáticamente la actualización a las versiones basadas en la nube del producto ese mismo día.

Análisis de tácticas y sofisticación BeyondTrust, que llevó a cabo su propia investigación y coordinó con Mandiant en una investigación que involucraba a un cliente con alojamiento propio que fue comprometido, destacó la destreza de Armory Castle.\n «Este actor de amenazas rota su infraestructura y herramientas para cada víctima, por lo que la atribución aquí se basa en el comportamiento. Los indicadores de una intrusión rara vez sobreviven a la siguiente», escribió el equipo de seguridad de la empresa en una publicación de blog. «El actor de amenazas ha demostrado históricamente un alto grado de conciencia en seguridad operativa, prácticas profesionales y técnicas de ejecución».

Un portavoz de BeyondTrust declinó responder preguntas sobre cuántos clientes ya están comprometidos o por qué no divulgó públicamente el día cero siendo explotado activamente antes, y en su lugar remitió a su aviso de seguridad.

La empresa indicó que el primer caso conocido de explotación de día cero ocurrió el 29 de agosto, el cual detectó y contuvo el 28 de septiembre. Además, BeyondTrust afirmó que detectó la actividad maliciosa después de que se confirmara que se estaban explotando días cero en el producto de otro proveedor de seguridad el 27 de septiembre. Ese cronograma coincide con una ronda de días cero que Citrix NetScaler reveló, tras casi dos días de preocupación generalizada y rumores no confirmados.\n BeyondTrust no indicó si existe algún vínculo o solapamiento entre los ataques dirigidos a Citrix NetScaler, que pasaron desapercibidos durante más de tres semanas, y su producto de acceso remoto.

Perfil del actor de amenazas Los investigadores de GTIG afirmaron que no hay suficiente evidencia para evaluar una tendencia de objetivo general, pero instaron a todas las organizaciones potencialmente vulnerables a aplicar el parche y buscar actividad previa a la divulgación.\n Los objetivos previos del grupo de amenazas incluyen proveedores de servicios externos de procesos de negocio, gobierno, servicios legales, empresas de tecnología y proveedores de software como servicio.

«Armory Castle sigue siendo uno de los actores de amenazas con vínculos con China más destacados debido a su persistente objetivo de diversas tecnologías de dispositivos de borde, el uso de vulnerabilidades de día cero para la explotación masiva en múltiples industrias y regiones, y su arsenal de herramientas en continua expansión y evolución», afirmó Dan Perez, líder técnico en GTIG.

"Este es un patrón bien establecido para Armory1 Castle", dijo Vanderlee. "El apuntar a dispositivos de borde, que normalmente no admiten detección y respuesta de endpoints (EDR), permite al actor de amenazas minimizar las oportunidades de detección y mantener un acceso sigiloso y persistente a las redes objetivo".

La sofisticación de estos actores subraya la importancia de implementar medidas de detección robustas y parches de emergencia de manera inmediata ante cualquier vulnerabilidad crítica en la infraestructura de red.",

Fuente:
https://cyberscoop.com/china-espionage-attacks-beyondtrust-zero-day-armory-castle/

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.