Armory Castle khai thác lỗ hổng BeyondTrust Remote Support
"China-linked group Armory Castle exploited a zero-day vulnerability (CVE-2026-102764) in BeyondTrust Remote Support to gain control of remote support servers. The flaw, an improper origin validation issue, allowed for file operations on affected appliances. Patches are available for SaaS and self-hosted customers, with updates required for versions 24.3.1-26.2.3."
Lỗ hổng zero-day cho phép chiếm quyền điều khiển hệ thống từ xa, gây ra rủi ro mất dữ liệu và gián đoạn dịch vụ.
Các doanh nghiệp sử dụng BeyondTrust Remote Support có thể bị mất uy tín và thiệt hại tài chính do dữ liệu bị đánh cắp hoặc hệ thống bị xâm nhập.
Nhóm Armory Castle, liên kết với Trung Quốc, khai thác lỗ hổng zero-day (CVE-2026-102764) trong BeyondTrust Remote Support vào cuối tháng 8/2026. Lỗ hổng này, do xác thực nguồn gốc không chính xác, cho phép kẻ tấn công thực hiện các thao tác file trên thiết bị bị ảnh hưởng.
Các kỹ sư và doanh nghiệp Việt Nam sử dụng BeyondTrust Remote Support cần lưu ý vì lỗ hổng này có thể dẫn đến việc chiếm quyền điều khiển máy chủ hỗ trợ từ xa. Đây là mối đe dọa đặc biệt với các tổ chức sử dụng giải pháp này để quản lý hệ thống từ xa.
BeyondTrust đã phát hành bản vá cho tất cả khách hàng SaaS vào ngày 9/10/2026. Khách hàng tự lưu trữ (self-hosted) chạy phiên bản từ 24.3.1 đến 26.2.3 nên cập nhật lên BT26-05-RS. Phiên bản cũ hơn 24.3.1 cần nâng cấp lên phiên bản mới hơn để vá lỗi.
Theo thông tin từ BeyondTrust, Armory Castle đã khai thác lỗ hổng trên một thiết bị tự lưu trữ vào ngày 29/8/2026. Sau đó, vào ngày 27/9/2026, việc khai thác thành công một thiết bị bảo mật khác được công khai, dẫn đến việc BeyondTrust điều tra và phát hiện hoạt động tương tự.
Armory Castle từng khai thác các lỗ hổng zero-day trong Citrix NetScaler (CVE-2023-4966) và Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282). Nhóm này hoạt động từ tháng 10/2023, nhắm vào nhiều lĩnh vực như dịch vụ pháp lý, SaaS, dịch vụ BPO, công nghệ và chính phủ để thu thập thông tin tình báo lâu dài. Họ thường khai thác lỗ hổng một cách chọn lọc trước khi công khai, sau đó mở rộng khai thác trên các hệ thống chưa được vá.
Mandiant cho biết sau khi xâm nhập thành công, kẻ tấn công triển khai web shell PHP có tên SAWFLY để truy cập từ xa và thiết lập kênh C2 mã hóa hai chiều. Họ sử dụng VPN thương mại và router gia đình bị xâm nhập để che giấu hoạt động. Sau đó, họ leo thang đặc quyền, chiếm quyền kiểm soát hoàn toàn thiết bị và duy trì quyền truy cập ngay cả sau khi khởi động lại.
Kẻ tấn công tập trung vào việc đánh cắp thông tin đăng nhập bằng cách đọc bí mật được lưu trữ trên thiết bị và sử dụng quyền quản trị để truy cập các hệ thống khác. Các hành động sau xâm nhập bao gồm:
- Chiếm quyền kiểm soát cấp root bằng cách thay thế shell hệ thống.
- Thu thập thông tin đăng nhập từ cơ sở dữ liệu quản lý bí mật.
- Lấy quyền root không cần mật khẩu thông qua cấu hình BeyondTrust.
- Sử dụng quyền quản trị để trinh sát và truy cập các hệ thống hạ nguồn.
- Tải xuống và đánh cắp tài liệu nhạy cảm.
- Sử dụng BARECLAW, proxy SOCKS5 tùy chỉnh, để chuyển tiếp lưu lượng truy cập.
- Thay đổi cấu hình haproxy.conf để truy cập BARECLAW từ internet.
- Xóa nhật ký hệ thống, web server và ứng dụng để che giấu dấu vết.
Google Threat Intelligence Group (GTIG) và Mandiant khuyến cáo bất kỳ thiết bị nào có thể truy cập từ internet và chạy phiên bản dễ bị tấn công trong khoảng thời gian khai thác nên được xem là bị xâm nhập cho đến khi được kiểm tra.
Câu hỏi thường gặp
CVE-2026-102764 là gì?
CVE-2026-102764 là mã định danh cho một lỗ hổng zero-day trong BeyondTrust Remote Support, cho phép kẻ tấn công thực hiện các thao tác file trên thiết bị bị ảnh hưởng.
Armory Castle là ai?
Armory Castle là một nhóm tin tặc liên kết với Trung Quốc, chuyên khai thác các lỗ hổng zero-day để thu thập thông tin tình báo.
Khách hàng BeyondTrust cần làm gì?
Khách hàng SaaS đã được vá tự động. Khách hàng tự lưu trữ chạy phiên bản từ 24.3.1 đến 26.2.3 cần cập nhật lên BT26-05-RS. Phiên bản cũ hơn cần nâng cấp.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng lo ngại đối với các doanh nghiệp Việt Nam sử dụng BeyondTrust Remote Support để hỗ trợ khách hàng hoặc quản lý hệ thống từ xa. Việc vá lỗi ngay lập tức là cần thiết để ngăn chặn các cuộc tấn công tiềm ẩn. Điều đáng chú ý là Armory Castle có xu hướng khai thác lỗ hổng một cách có chọn lọc trước khi công khai, vì vậy việc theo dõi các cảnh báo bảo mật và cập nhật phần mềm thường xuyên là rất quan trọng.