BeyondTrust: 47 giorni di zero-day sfruttata da APT cinese Armory Castle

BeyondTrust ha divulgato il 15 ottobre 2026 una falla critica nella sua piattaforma Remote Support dopo che un attore cinese di spionaggio, identificato come Armory Castle (anche UNC5221 e Warp Panda), l'ha sfruttata per quasi sette settimane senza che nessuno se ne accorgesse. La finestra di esposizione, dal 29 agosto al 15 ottobre, ha consentito accesso root e movimento laterale in reti enterprise attraverso strumenti appositamente sviluppati: la web shell Sawfly e il tunnel SOCKS5 Bareclaw. CISA ha inserito CVE-2026-102764 nel catalogo KEV il 16 ottobre, con scadenza patch fissata al 19 ottobre per le agenzie federali.

Il meccanismo: quando la fiducia si concentra in un unico broker

Il difetto risiede in una improper origin validation nei componenti di messaging interni della piattaforma, classificato come CWE-290: Authentication Bypass by Spoofing. Secondo la descrizione ufficiale riportata da The Hacker News, "The components did not adequately validate the origin of the messages it received. Under the right conditions, this could be used to perform file operations on the appliance". Questo mancato controllo consente a un attore remoto di inviare messaggi che l'appliance elabora come legittimi, aprendo la strada a operazioni arbitrarie sul filesystem.

Da qui la catena si snoda con precisione chirurgica. L'upload della web shell Sawfly, leggera e con comunicazione cifrata bidirezionale con il server di comando e controllo, stabilisce il primo punto d'appoggio. Il tunnel Bareclaw, scritto in C e configurato come proxy SOCKS5, consente di instradare traffico ulteriore attraverso l'appliance compromessa. L'escalation a root avviene copiando /bin/sh in /usr/bin/dbus-authd con permessi SUID e proprietario root, tecnica che converte un binario apparentemente innocuo in una backdoor privilegiata.

L'obiettivo successivo è il vault delle credenziali interno all'appliance. I ricercatori di Mandiant e Google Threat Intelligence Group hanno documentato l'uso dell'utility proprietaria /ns/sbin/bt-secrets CLI per estrarre password, API key e credenziali endpoint. Questo è il punto in cui il singolo breach trascende il sistema compromesso: BeyondTrust Remote Support agisce da broker di accesso privilegiato, quindi il furto del suo vault equivale a ottenere le chiavi di tutte le sessioni e i target downstream che gestisce.

"Any appliance that was reachable from the internet on a vulnerable version during the exploitation window should be treated as potentially compromised until it has been reviewed."
— Mandiant/GTIG (Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch, John Wolfram)

La finestra dei 47 giorni e il problema della visibilità

Il 29 agosto 2026 segna l'inizio di una campagna che è rimasta invisibile per quasi sette settimane. BeyondTrust ha rilasciato la patch BT26-05-RS l'8 ottobre; le istanze SaaS sono state aggiornate automaticamente entro il 9 ottobre. La disclosure pubblica è seguita il 15 ottobre. In quel lasso di tempo, l'attaccante ha operato con metodo: la cancellazione dei log non è stata casuale ma sistematica, coprendo tracce a livello di sistema, web server e applicazione.

Questa operazione di pulizia ha un effetto paradossale. Le appliance interessate non possono essere dichiarate pulite semplicemente non rilevando attività sospette nei propri registri: l'assenza di evidenza diventa evidenza di manipolazione, non di innocuità. Secondo le raccomandazioni di BeyondTrust e del gruppo Mandiant/GTIG, qualsiasi sistema self-hosted esposto a Internet in quel periodo deve essere considerato potenzialmente compromesso fino a verifica dedicata.

Privileged Remote Access (PRA), prodotto correlato che condivide il codice vulnerabile, non ha al momento exploit confermati. BeyondTrust ha precisato questa distinzione, evitando di estendere allarmisticamente il perimetro del rischio oltre quanto documentato.

Attribution e il pattern dell'accesso come obiettivo

L'attribuzione a Armory Castle, UNC5221 o Warp Panda — tutte denominazioni che si riferiscono allo stesso cluster di attività cinese di spionaggio — riposa su analisi di Mandiant e Google Threat Intelligence Group con confidenza moderata-alta. Non emergono al momento sovrapposizioni infrastrutturali che colleghino formalmente l'attore a operazioni di governo cinese, né la fonte fornisce prove di mandato statale.

Un elemento di particolare interesse strategico emerge dalla ricostruzione di BeyondTrust, citata da The Hacker News: "Our working assessment is that this actor selects high-value software targets in advance and keeps a working model of the products the actor targets in an AI context that it uses on an ongoing basis to develop exploit chains". Si tratta di una valutazione operativa, non di una prova tecnica sull'uso effettivo di intelligenza artificiale nel processo di weaponizzazione. Rimane un'ipotesi che qualifica il livello di preparazione dell'attore, non un dato forenso.

Il caso si inserisce in un pattern sistematico del 2026 che vede attori cinesi concentrarsi non sui dati terminali ma sulle infrastrutture di accesso che li raggiungono: Ivanti Connect Secure a inizio anno, Citrix ADC, Fortinet FortiManager, e ora BeyondTrust Remote Support. L'angolo è costante — il concentrato di fiducia che queste appliance incarnano — e la logica è fredda: perché attaccare mille endpoint quando si può violare il singolo broker che li amministra tutti?

Cosa fare adesso

Le azioni prioritarie derivano direttamente dalle raccomandazioni documentate da BeyondTrust, CISA e dalla ricerca Mandiant/GTIG.

Applicare BT26-05-RS immediatamente. La patch è disponibile dal 9 ottobre 2026 per le istanze SaaS e dal 8 ottobre per le deployment self-hosted. Per i sistemi federali statunitensi, CISA ha imposto scadenza vincolante al 19 ottobre.

Ruotare tutte le credenziali gestite dall'appliance. Il furto dal vault interno tramite bt-secrets CLI espone password, API key e credenziali endpoint. La rotazione non è precauzionale ma conseguente al meccanismo di compromissione documentato.

Ricostruire da immagine pulita se il compromesso è confermato o non escludibile. La cancellazione sistematica dei log rende insufficiente la verifica basata su analisi forense dei registri residui. In assenza di evidenza di integrità, la ricostruzione completa rimane l'unica garanzia di ripristino.

Revisionare sessioni amministrative e Jump Item downstream. L'uso dei meccanismi nativi di movimento laterale dell'appliance — Jump Client e Jump Item — deve essere ispezionato per identificare sessioni sospette o accessi anomali nel periodo di esposizione.

Perché questo caso cambia il perimetro della difesa

L'eredità di CVE-2026-102764 non è solo tecnica ma architetturale. Quando un vendor posiziona il proprio prodotto come nodo centrale di accesso privilegiato, assume implicitamente una superficie di attacco che moltiplica l'impatto di ogni singola vulnerabilità. Il CVSS 9.3 misura il difetto del software, ma non contabilizza l'effetto di rete: una volta dentro l'appliance, l'attaccante eredita automaticamente la topologia di fiducia che essa governa.

Il 2026 sta disegnando una nuova geografia del rischio, dove gli APT cinesi non scalano reti endpoint per endpoint ma cercano i punti di consolidamento. BeyondTrust Remote Support è l'ultimo esempio di questa logica. La domanda che rimane aperta, e che il dossier attuale non risolve, è quanti altri broker di fiducia stiano venendo modellati in questo momento in contesti che neanche l'industria ha ancora mappato.

FAQ

Privileged Remote Access (PRA) è a rischio?

BeyondTrust ha confermato che PRA condivide il codice vulnerabile ma non ha identificato exploit in-the-wild per questo prodotto. La raccomandazione ufficiale è di applicare comunque la patch, ma il perimetro documentato si limita a Remote Support.

Perché i log cancellati rendono impossibile la verifica?

L'attaccante ha rimosso log di sistema, web server e applicativi in modo sistematico. Senza registri integri, non è possibile ricostruire la cronologia degli accessi né escludere attività residue. La ricostruzione da immagine pulita sostituisce quindi la verifica forense come unica garanzia affidabile.

L'uso di AI da parte dell'attaccante è provato?

No. La citazione BeyondTrust descrive una "working assessment" sul modello operativo di Armory Castle, non una prova tecnica. Non emergono nel dossier evidenze di generazione automatizzata di exploit o di impiego di LLM nella catena di attacco documentata.

Fonti

• shattered.io
• rapid7.com
• techbytes.app
• thehackernews.com
• securityweek.com
• thehackernews.com
• rapid7.com
• cisa.gov