Un gruppo di spionaggio legato alla Cina ha sfruttato per settimane una falla da 9,3 in BeyondTrust Remote Support. Il cloud è già corretto. Le installazioni in casa no.
Lo strumento che usano i tecnici per entrare nei tuoi PC potrebbe essere stato aperto anche a qualcun altro, per quasi due mesi. Se l'azienda usa BeyondTrust Remote Support installato sui propri server, questo è successo davvero. Il produttore ha corretto una falla zero-day (CVE-2026-102764, avviso BT26-05) che veniva sfruttata almeno dal 29 agosto. Gravità: 9,3 su 10.
Cosa non funzionava
Remote Support è un software di assistenza remota: il tecnico si collega, vede lo schermo e prende il controllo del computer. Alcuni componenti accettavano i messaggi in arrivo senza controllare bene da dove venissero. In pratica un attaccante senza credenziali poteva saltare il login e leggere o modificare i file dell'appliance, cioè il server che gestisce le sessioni. Sono vulnerabili le versioni fino alla 26.2.3. Privileged Remote Access, il prodotto gemello, usa lo stesso codice: BeyondTrust dice di non essere riuscita a sfruttare la falla lì, ma consiglia comunque di installare la patch.
Secondo Mandiant, che ha visto per prima gli attacchi, dietro c'è Armory Castle (prima chiamato UNC5221, per CrowdStrike è Warp Panda), un gruppo di spionaggio legato alla Cina. La sequenza è stata questa. Prima una web shell, cioè una porta di servizio nascosta nel server web. Poi i permessi di root, due malware (Sawfly, un'altra web shell, e Bareclaw, che apre un tunnel verso l'esterno) e la cancellazione dei log. Infine, con le credenziali di amministratore rubate, le sessioni remote sui sistemi collegati. Gli attaccanti usavano lo strumento di assistenza esattamente come lo usa un tecnico. Solo che il tecnico non era quello giusto.
Cloud già sistemato, server in casa no
I clienti in cloud (SaaS) sono stati aggiornati direttamente da BeyondTrust tra l'8 e il 9 ottobre. Chi ha l'installazione sui propri server deve aggiornare a mano, a meno che non abbia attivato gli aggiornamenti automatici. Chi è sotto la versione 24.3.1 deve prima fare un salto di versione. Shadowserver conta più di 1.400 istanze di Remote Support esposte su internet. BeyondTrust dichiara oltre 20.000 clienti. E non è la prima volta: a fine 2024 due zero-day sullo stesso prodotto erano serviti a un altro gruppo cinese per entrare, tra gli altri, nel Dipartimento del Tesoro americano.
Mandiant su un punto è netta: ogni appliance raggiungibile da internet che nel periodo dell'attacco aveva una versione vulnerabile va considerata potenzialmente compromessa, finché qualcuno non la controlla. La patch chiude la falla, ma non ti dice chi è entrato nel frattempo. E visto che gli attaccanti cancellavano i log, guardare solo quelli potrebbe non bastare.
Fonte: BleepingComputer
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Gli strumenti di assistenza remota hanno una specie di ironia incorporata. Li compri per far entrare le persone giuste, ed è proprio questo che li rende la porta preferita di quelle sbagliate. Chi buca il server di assistenza non deve inventarsi niente per muoversi nella rete: trova già pronte le sessioni, le credenziali salvate e l'elenco dei PC a cui collegarsi. Non me la sento di mettere tutta la colpa sul produttore. Questo software deve stare su internet per funzionare, e scrivere codice che resista a un gruppo statale è un mestiere difficilissimo. Però due zero-day gravi sullo stesso prodotto in meno di due anni li considererei un dato di cui tenere conto, non un caso sfortunato.
Nelle aziende mi capita spesso di trovare appliance di assistenza remota installate anni fa da un fornitore, con gli aggiornamenti automatici spenti per non rischiare problemi e nessuno che sappia bene chi le gestisce. In questi casi la patch è solo il primo passo. Poi bisogna controllare i file con permessi anomali, gli account creati di recente e soprattutto le sessioni aperte dal 29 agosto in poi verso i sistemi a valle, e cambiare tutte le credenziali salvate nello strumento. C'è un punto su cui non ho una risposta netta: con i log cancellati, non trovare tracce non dimostra che non sia entrato nessuno. A volte la scelta più onesta, e anche la più economica, è ricostruire l'appliance da zero invece di indagare all'infinito. Se nella tua azienda BeyondTrust è installato sui vostri server e vuoi capire se in queste settimane qualcuno l'ha usato al posto vostro, posso aiutarti a fare questa verifica, partendo dai log rimasti e dalle sessioni verso i PC collegati.