BeyondTrust 远程支持零日漏洞遭中国间谍利用

一个由国家背景支持的入侵团伙需要在你的远程支持设备内潜伏多久，“我们已经打过补丁了”才不足以作为回应？根据 Mandiant 和 Google Threat Intelligence Group 本周发布的内容，诚实的答案大约是十一分钟，即从第一个恶意请求到一个 Web Shell 出现在设备 Web 根目录之间的时间。

该漏洞为 CVE-2026-102764，是 BeyondTrust Remote Support（原名 Bomgar）26.2.3 及更早版本中的一个严重身份验证绕过漏洞，CVSS 4.0 评分为 9.3。据 The Record 报道，漏洞利用最早可追溯至 8 月 29 日，比任何人察觉都早了数周。Mandiant 和 BeyondTrust 将此次攻击归因于 ARMORY CASTLE，该组织也被称为 UNC5221，Mandiant 和 BeyondTrust 将其描述为中国国家支持的间谍行动。CISA 于 10 月 16 日将该漏洞加入已知被利用漏洞目录（KEV），并给予联邦机构至 10 月 19 日（即明天）完成修复的期限。如果你运行的是自托管设备，这个周末就该用来处理它。

漏洞原理：伪造身份潜入，然后操控文件

CISA 的 KEV 条目将 CVE-2026-102764 描述为一种通过伪造身份实现的身份验证绕过，远程攻击者借此可以对设备执行文件操作。CSO Online 引用的 Mandiant 报告则说明了其影响范围：未经身份验证的攻击者可以把这些文件操作串联起来，获得主机级控制权，并触及设备存储或代理的每一项凭据。对于一台专门负责代理特权远程会话的设备来说，这是最糟糕的原语。

BeyondTrust 在公告 BT26-05 中披露了该漏洞，并称已于 10 月 8 日发布修复版本 BT26-05-RS，早于公开披露。但 CISA 的通告中藏着一个陷阱：补丁仅针对受支持版本（24.3.1 及更高版本）。如果你的设备运行的是更旧的版本，得到的不是热修复，而是一个升级项目。BeyondTrust 托管的 SaaS 实例（包括 Remote Support 和 Privileged Remote Access）已自动打补丁，该公司表示这些客户无需采取进一步行动。由于自托管客户仍在打补丁，该公司暂未公开漏洞的技术细节，因此除相关方之外，尚无人公布概念验证代码。目前关于利用的所有已知信息都来自事件响应，而非理论推演。

从第一个请求到 Web Shell，只需十一分钟

Mandiant 记录的后渗透链条值得细细梳理，因为它堪称从单个设备漏洞中榨取最大持久化能力的范例。BeyondTrust 的时间线显示，首次利用发生在 8 月 29 日，目标包括一个 BeyondTrust 托管实例和一台自托管设备。据 Google 的分析报告，在第一个恶意请求之后大约 11 分钟，一个被 Mandiant 称为 SAWFLY 的 PHP Web Shell 出现在了设备的 Web 根目录中。

SAWFLY 以非特权服务账户身份落地，这只是一道矮墙，而非高墙。为了提权，攻击者使用了一个经典的 CTF 手法：把 Shell 二进制文件复制到一个看似无害的路径，把所有权交给 root，然后设置 SUID 位。Mandiant 描述的步骤本质上大致如下：

# copy the shell to a path that blends in with system daemons
cp /bin/sh /usr/bin/dbus-authd
# make root the owner and set the SUID bit
chown root /usr/bin/dbus-authd
chmod u+s /usr/bin/dbus-authd
# any user executing it now gets an euid-0 shell
/usr/bin/dbus-authd -p

这种手法在 Hack The Box 靶机中很常见，而这正是它能在无人审计的设备上奏效的原因：名为 dbus-authd 的 SUID 二进制文件不会触发任何检测，除非有人专门去找它。随后，攻击者植入了一个启动脚本，向 BeyondTrust 的 sudoers 模板写入一条免密 sudo 条目，使 root 权限不仅能在当前会话中保留，还能在重启和配置重置后继续存在。这种持久化手段直接针对管理员最可能首先尝试的两件事。

接下来是重头戏。攻击者多次运行 BeyondTrust 的专有命令行工具 bt-secrets，转储设备的凭据库，即设备存储的每一项凭据。随后，这款帮助台工具又被反过来对付它的主人。攻击者借助一个已被入侵的管理员账户，将该账户的 Jump Item 和 Team 权限从“无访问权限”提升为“管理员”。

Mandiant 直言了这一变更的后果：仅这一项配置修改，就让攻击者获得了对设备 Jump Item 列表中任何系统发起远程会话的合法授权，无需进一步利用，因为设备本身已将这种访问视为正当。

如果你负责帮助台，请再读一遍：Jump Item 列表就是设备中的端点地图。对它拥有管理员权限，就等于获得了通往所有下游系统、看似合法的远程访问，而且借用的是你的 IT 团队本来就信任的工具。在数据外泄和 C2 方面，攻击者部署了自研的 SOCKS5 隧道工具 BARECLAW，并修改了设备的 HAProxy 配置，通过一个隐藏的本地监听端口将流量路由过去，形成一种看起来与设备正常流量无异的入站代理。为了掩盖踪迹，超过十几个系统、Web 服务器和应用程序日志被删除。据 The Record 转述，Mandiant 的结论是：任何可从互联网访问的存在漏洞的设备，在完成审查之前都应被视为可能已失陷。

攻击者是谁，以及 Ivanti 先例为何值得警惕

Mandiant 将该攻击者称为 ARMORY CASTLE（原 UNC5221），并与 GTIG 共同将其归因为一个疑似与中国有关的间谍行动。BeyondTrust 认可了这一判断，称其为“专注于长期情报收集的国家支持间谍行动”。该组织自 2023 年 10 月起活跃，已记录的目标包括法律服务机构、SaaS 提供商、业务流程外包商、科技公司和政府部门。Mandiant 指出，攻击者“充分利用了对 BeyondTrust 设备内部机制的深入理解”。仅 bt-secrets 的滥用就说明，他们研究的是产品本身，而不仅仅是漏洞。

这里的规律比归因更值得关注。ARMORY CASTLE 此前被指与针对 Citrix 的多个零日漏洞以及多个 Ivanti 漏洞有关，包括 CVE-2023-46805、CVE-2024-21887 和 CVE-2025-0282。正如 BeyondTrust 所描述的，他们的打法是：先对选定目标有针对性地使用零日漏洞，待漏洞公开后，再转向对每一台未修复设备进行大范围利用。Mandiant 在 2025 年的一起案例中报告称，该攻击者获取了某个低风险漏洞的 Ivanti 补丁，对其进行研究，并逆向出可对未修复设备实现远程代码执行的利用方法。GTIG 和 Mandiant 本周的警告十分明确：

“各机构应为此次披露之后可能出现的大范围利用做好准备，”Google Threat Intelligence Group 和 Mandiant 在其博客文章中写道。

因此，倒计时不仅针对打补丁本身，还针对从披露到“广撒网”阶段之间的空档，而这个团伙历来行动很快。

长达一个月的潜伏，以及一堂尴尬的告警分诊课

检测时间线值得单独审视，因为它是这起事件中最能推广到你所在环境的部分。利用行为始于 8 月 29 日，BeyondTrust 直到 9 月 28 日才发现入侵，而且是在另一家厂商的边缘设备被公开报道遭入侵、Mandiant 发出一份简短而不具体的警告之后，才促使工程师展开排查。BeyondTrust 写道：“当攻击者提升权限时，我们的传感器实时触发了告警。”但其第三方检测平台内置的分诊工具却将这些告警关闭为误报。该公司尚未透露那家厂商的名称，并表示正在与其合作，确保自动化分诊不会单凭自身就关闭高危信号。

值得肯定的是，一旦有人介入查看，BeyondTrust 的响应十分迅速：托管实例在确认后 27 分钟内即被隔离。但是，边缘设备上长达一个月的潜伏时间，由外部线索才得以终止，又因自动关单的分诊机器人而被掩盖，这是每个 SOC 本周都应基于自身工具推演一遍的情景。BeyondTrust 和 Mandiant 都未说明是否有其他客户遭入侵，这一点目前是已确认的未知数。考虑到该攻击者的历史，没有公布受害者名单并不能说明没有受害者。

升级与被入侵的成本对比

具体来看，取舍如下。方案 A：应用 BT26-05-RS 补丁，即进行一次设备更新，协商变更窗口，或许还要面对一个尴尬的问题，即为什么远程支持版本落后了一两个大版本。如果你运行的是低于 24.3.1 的版本，方案 A 还需先完成一次完整的版本升级。这确实是实打实的工作，但它是可以排期的工作。

方案 B 是 CISA 为疑似已失陷情况所给出的路径，读起来像一张事件响应账单：隔离设备；对虚拟设备做快照，对物理设备做取证镜像；在动手之前，先把 syslog 和会话事件转发到 SIEM；调取整个暴露时间窗口内 WAF、反向代理和边界防火墙的日志；从已知良好状态重建；然后轮换设备存储或注入过的所有凭据，撤销所有活动中的支持会话，并检查特权账户新增的 MFA 注册。最后这一项是隐藏的雷区：对一台支持设备曾经接触过的所有凭据进行轮换，耗时以周计，而非以小时计。方案 A 的成本要低一个数量级，而对联邦机构而言，它将在明天因 KEV 期限而到期。

这个周末该做什么

先检测，再修复。面对长达一个月的暴露窗口和一个会清除日志的攻击者，直接给已失陷的设备打补丁，等于把一台刚打好补丁的设备再送给攻击者。以下具体步骤综合自 CISA 的通告和 Mandiant 的发现：

• 在重建之前，先将设备的 syslog 和会话事件发送至 SIEM，并保留一份镜像或快照用于取证。
• 排查 Mandiant 指出的持久化痕迹：SUID 的 /usr/bin/dbus-authd、sudoers 模板中的免密 sudo 条目、异常的启动脚本，以及指向隐藏本地监听端口的 HAProxy 配置。
• 关注行为而不仅仅是文件：无法识别的特权会话、Jump Item 或 Team 权限被改为管理员的变更、来历不明的脚本文件，以及日志或日志转发的缺失。攻击者删除了十几个以上的日志文件。
• 从已知良好状态重建，应用 BT26-05-RS 补丁，轮换设备存储或注入过的所有凭据，撤销活动中的支持会话，并检查特权账户的 MFA 注册情况。
• 从根本上缩减攻击面：仅开放支持用户所需的外部服务，并将管理界面限制在可信网络内。
• 检查你的分诊自动化：如果你的工具会自动关闭高危告警，那么 BeyondTrust 长达一个月的潜伏就是你的前车之鉴。

边缘设备之所以屡屡成为入口，是因为它们高度集中了信任：凭据、会话代理，以及下游端点的地图。ARMORY CASTLE 已将这套打法先后用于 Ivanti、Citrix 和 BeyondTrust。请按此顺序行动，并从现在开始：打补丁、取证、排查、轮换。