TL;DR
Atakujący wykorzystywali krytyczną lukę w BeyondTrust Remote Support (CVE-2026-102764, CVSS 9.3) od 29 sierpnia, czyli prawie dwa miesiące przed publicznym ujawnieniem 15 października. Błąd polegał na niewłaściwej weryfikacji źródła komunikatów między komponentami, co pozwalało bez logowania wykonywać operacje na plikach serwera, w tym wgrać własny plik.
Grupa ARMORY CASTLE, powiązana z UNC5221 i podejrzewana o szpiegostwo, wrzuciła webshell SAWFLY w PHP, podniosła uprawnienia do roota i zostawiła mechanizmy przetrwania restartu. Potem wyciągnęła zapisane poświadczenia i hasła administratorów, a samo narzędzie wsparcia posłużyło jej do dotarcia do kolejnych zarządzanych systemów. Podatne są wersje 26.2.3 i starsze, a środowiska SaaS producent już zabezpieczył. Jeśli utrzymujesz instancję u siebie, warto sprawdzić, co jeszcze oprócz łatki z biuletynu BT26-05 trzeba zrobić po takim włamaniu.
Systemy zdalnego wsparcia mają przede wszystkim ułatwiać pracę zespołom wsparcia i administratorom. Jedna konsola pozwala łączyć się z komputerami użytkowników, przesyłać pliki i r...
Czytaj cały wpis u źródła
