Hackers ligados à China exploraram um zero-day da BeyondTrust para sequestrar servidores de suporte remoto

Um grupo de espionagem ligado à China, rastreado como Armory Castle, antes conhecido como UNC5221 e Warp Panda, explorou um zero-day inédito no BeyondTrust Remote Support para invadir uma appliance auto-hospedada no fim de agosto de 2026. A falha, CVE-2026-102764, tem pontuação CVSS 9.3 e vem de uma validação de origem inadequada em um componente interno de mensagens.

Depois de entrar, os atacantes instalaram um web shell PHP leve chamado SAWFLY para controle remoto criptografado, coletaram credenciais e chaves de API armazenadas na própria appliance e tunelaram o tráfego por um proxy SOCKS5 customizado batizado de BARECLAW. Eles escalaram para root, alcançaram sistemas downstream e apagaram logs para não deixar rastros.

A BeyondTrust já corrigiu os clientes SaaS, mas quem usa a versão auto-hospedada entre 24.3.1 e 26.2.3 precisa aplicar manualmente o patch BT26-05-RS agora. É um alerta alto de que atores de Estado continuam transformando zero-days em arma contra a infraestrutura em que mais confiamos, então reforçar privacidade e controle de acesso deixou de ser opcional.