Authentication Bypass Spionageakteur nutzt Zero Day in Beyondtrust Remote Support aus

Beyondtrust hat eine kritische Schwachstelle in Remote Support gepatcht, die laut Hersteller als Zero Day ausgenutzt wurde. Dahinter steckt mut­maß­lich ein chinesischer Spionageakteur. Wer Remote Support selbst betreibt, sollte sofort patchen.

Beyondtrust hat am 15. Oktober 2026 das Advisory BT26-05 zu einer kritischen Schwachstelle in seiner Fernwartungslösung Remote Support veröffentlicht. Bei der Sicherheitslücke EUVD-2026-102427 / CVE-2026-102764 (CVSS-Score 9.3, EPSS-Score 1.18^*) prüfen interne Komponenten laut Enisa nicht ausreichend, woher die empfangenen Nachrichten stammen. Unter bestimmten Bedingungen kann ein Angreifer dadurch Dateioperationen auf der Appliance ausführen. Die CISA hat die Schwachstelle am 16. Oktober in ihren KEV-Katalog aufgenommen und führt sie als „Authentication Bypass by Spoofing“.

Angriffe über fremde Infrastruktur

Chinas Cyberspione nutzen gekaperte Geräte als Tarnung

Betroffen ist laut Beyondtrust Remote Support, früher Bomgar, bis einschließlich Version 26.2.3. Auch Privileged Remote Access (PRA) nutzt dieselbe Programmlogik. In internen Tests ließ sich die Schwachstelle dort laut Hersteller aber nicht ausnutzen. Beyondtrust hat vorsorglich auch für PRA einen Patch veröffentlicht. Die Patches sind:

• Selbst gehostetes Remote Support: Patch BT26-05-RS. Er steht laut CISA für unterstützte Versionen ab 24.3.1 bereit. Wer eine ältere Version einsetzt, muss zuerst auf eine neuere aktualisieren.

• Selbst gehostetes PRA: Der zugehörige Patch aus BT26-05, vorsorglich.

• SaaS-Instanzen von Remote Support und PRA: Beyondtrust hat sie automatisch gepatcht, eine Aktion ist nicht nötig.

Admins können den Patch über die Verwaltungsoberfläche der Appliance einspielen, die unter dem Pfad „/appliance“ erreichbar ist, oder prüfen, ob die automatische Aktualisierung ihn schon installiert hat. Ist der Patch dort nicht sichtbar, empfiehlt das Analystenteam von Mandiant, das den Vorfall untersucht hat, eine Support-Anfrage bei Beyondtrust mit Verweis auf BT26-05.

UNC2814

Chinesische Akteure missbrauchen Google Sheets

Ausnutzung durch mutmaßlich chinesischen Akteur

Beyondtrust und Mandiant berichten, dass die Schwachstelle als Zero Day ausgenutzt wurde. Beyondtrust ordnet den Angriff mit „mittlerer bis hoher Sicherheit“ einem mutmaßlich chinesischen Spionageakteur zu, den Mandiant und die Google Threat Intelligence Group (GTIG) als UNC5221 verfolgen. Mandiant nennt den Akteur inzwischen „ARMORY CASTLE“. Die Zuordnung beruht laut Beyondtrust auf dem Vorgehen der Angreifer und deckt sich mit der Einschätzung von Mandiant, die am selben Tag erschien. Die CISA bestätigt, dass Angreifer die Schwachstelle aktiv ausnutzen, um sich Zugang zu verschaffen, sich dauerhaft einzunisten, Rechte auszuweiten und sich seitwärts im Netz zu bewegen.

Der Akteur setzt laut Beyondtrust Zero-Day-Schwachstellen gezielt gegen ausgewählte Opfer ein. Sobald die Schwachstelle öffentlich ist, wechselt er üblicherweise zu breiter Ausnutzung aller noch ungepatchten Instanzen. Beyondtrust und Mandiant rechnen auch in diesem Fall damit. Frühere Angriffe von ARMORY CASTLE richteten sich gegen Citrix NetScaler und Ivanti Connect Secure.

Der Ablauf bei der Ausnutzung von EUVD-2026-102427 / CVE-2026-102764 ist laut Beyondtrust wie folgt:

• 29. August 2026: Der Akteur nutzt die Schwachstelle gegen eine von Beyondtrust gehostete Kunden-Instanz und eine selbst gehostete Appliance eines anderen Kunden aus.

• 28. September 2026: Beyondtrusts Threat-Hunting findet Hinweise auf den Vorfall. Das Unternehmen isoliert die Instanz binnen 27 Minuten nach der ersten Erkennung.

• 30. September 2026: Mandiant teilt seine Erkenntnisse zum selbst gehosteten Kunden mit.

• 8. Oktober 2026: Beyondtrust veröffentlicht den Patch für Cloud- und selbst gehostete Kunden. Laut Advisory und Mandiant war der Patch am 9. Oktober bei allen SaaS-Kunden eingespielt.

• 15. Oktober 2026: Koordinierte Offenlegung der Schwachstelle, Veröffentlichung des Hersteller-Advisorys und der Analyse von Mandiant.

Bisher kennt Beyondtrust nur die zwei betroffenen Kunden und hat seit August keine Aktivität des Akteurs mehr beobachtet. Die technischen Details der Schwachstelle hält der Hersteller zurück, solange selbst gehostete Appliances noch nicht gepatcht sind.

Nach der Ausnutzung habe der Akteur Mandiant zufolge eine Web Shell angelegt, ein Schadprogramm, über das er die Appliance aus der Ferne steuert. Es heiße „SAWFLY“ und sei etwa elf Minuten nach der ersten verdächtigen Anfrage entstanden. Von dort habe er seine Rechte auf Root erweitert und sich mit einer Änderung an der Konfiguration dauerhaften Zugriff gesichert, der Neustarts und das Zurücksetzen der Konfiguration überstehen würde. Er habe dann versucht, die auf der Appliance gespeicherten Zugangsdaten auszulesen, und systematisch Protokolle gelöscht.

Danach habe er in die Remote-Support-Anwendung gewechselt. Mit kompromittierten Administratordaten habe er die Berechtigungen seines Kontos für Jump Items und Teams von „Kein Zugriff“ auf „Administrator“ gesetzt. Jump Items sind Systeme, die für den Fernzugriff freigegeben sind. So sei der Angreifer in der Lage gewesen, dauerhaft Sitzungen zu an­ge­bun­de­nen Systemen zu starten. Über eine solche Sitzung habe er von einem internen Rechner Dokumente wie Software-Inventare heruntergeladen, die ihm bei der Erkundung des Netzes geholfen hätten. Außerdem habe er ein eigenes Tunnelwerkzeug namens „BARECLAW“ genutzt, das Datenverkehr über die Appliance leite und laut Mandiant von außen nicht per Scan zu entdecken gewesen sei. Beyondtrust ergänzt, der Akteur habe sich über kommerzielle VPN-Ausgänge und kompromittierte Router in Privathaushalten und kleinen Büros verbunden, damit der Verkehr nach normalem Breitband aussehen würde.

Geopolitische Konflikte

Google untersucht Risiken für Rüstungsunternehmen

Updates und Empfehlungen

Wer Remote Support selbst betreibt, sollte den Patch sofort einspielen. Laut Mandiant gilt jede Appliance mit verwundbarer Version, die während der Angriffe aus dem Internet erreichbar war, bis zu einer Prüfung als möglicherweise kompromittiert. Wer nicht sofort patchen kann, kann die Folgen mit diesen Maßnahmen begrenzen. Doch sie ersetzen den Patch nicht:

• Administrationsoberflächen einschränken: Den Zugriff auf „/login“ und „/appliance“ nach IP-Adresse oder Netzsegment auf vertrauenswürdige Netze begrenzen. „/appliance“ verwaltet das Gerät, „/login“ die Anwendung. Aus dem Internet sollten nur die Konsole der Support-Mitarbeiter, das Kundenportal und der Verkehr der Jump Clients erreichbar sein.

• Anfragen protokollieren: Wenn möglich einen Reverse-Proxy oder eine Web Application Firewall vorschalten, die die vollständigen Anfragepfade aufzeichnet. Der Akteur kann Protokolle auf der Appliance löschen, diese Aufzeichnung nicht.

• Ausgehenden Verkehr beschränken: Ausgehenden Verkehr der Appliance standardmäßig sperren und nur zu Beyondtrust-Zielen sowie zu den eigenen Syslog- und Verzeichnisservern erlauben.

• Logs auslagern: Syslog und Sitzungsereignisse nahezu in Echtzeit an ein SIEM weiterleiten. Kopien außerhalb der Appliance sind oft der einzige Beleg.

Die CISA rät Organisationen, die Remote Support selbst hosten, zu Netzwerk- und Speicherforensik. Beyondtrust weist darauf hin, dass die IoCs eines Opfers beim nächsten selten wieder auftauchen, deshalb zählt das Verhalten des Akteurs. Auffällig sind

• unbekannte administrative oder privilegierte Sitzungen von privaten Breitbandanschlüssen oder kommerziellen VPN-Adressen, die sich keinem Administrator oder Ticket zuordnen lassen,

• unbekannte Skriptdateien in Web-Verzeichnissen und Web-Dienstkonten, die Shells starten,

• nicht autorisierte Änderungen an Konten, Berechtigungen oder Sitzungsrichtlinien, besonders bei „Jump Items“ oder „Teams“ sowie

• unerwartete Unterbrechungen in Logs oder der Log-Weiterleitung, die innerhalb einer einzigen Sitzung beginnen und enden.

Bitkom Wirtschaftsschutz-Studie 2026

Wachsende Unsicherheit und Angriffe durch ausländische Geheimdienste

Mandiant nennt konkrete Indikatoren:

• SAWFLY: Datei „mangoapi.php“, SHA-256 „dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb“. Die vorgeschaltete Staging-Datei konnte Mandiant nicht sichern, deshalb gibt es keinen Hash.

• BARECLAW: Datei „ingredi_ws“, SHA-256 „1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462“. Im beobachteten Fall lauschte sie auf Port 19800 und war über den Pfad „/uidchanarge“ erreichbar.

• Weitere Spuren, die Mandiant in seiner Analyse beschreibt: die Datei „/usr/bin/dbus-authd“ mit SUID-Bit, das Skript „zz-root-persist“ im Verzeichnis „post_boot.d“ und ein zusätzlicher Eintrag in der HAProxy-Konfiguration.

Außerdem stellt Mandiant YARA-Regeln für SAWFLY und BARECLAW bereit. Weitere Indikatoren liegen für registrierte Nutzer in einer Sammlung der Google Threat Intelligence. Beyondtrust-Kunden können über das Trust-Portal ein Threat-Hunting-Paket anfordern.

Bei Verdacht auf eine Kompromittierung empfehlen CISA, Beyondtrust und Mandiant diese Schritte:

• Verdächtige oder bestätigt kompromittierte Appliances isolieren. Mandiant rät, den Zugang an der Perimeter-Firewall zu sperren und nicht in „/appliance“, damit die Konfiguration unverändert bleibt.

• Vor jeder Änderung einen Snapshot virtueller Appliances mit Arbeitsspeicher oder ein forensisches Abbild physischer Appliances anfertigen.

• Syslog und Sitzungsereignisse sofort an ein SIEM weiterleiten und zusätzliche Logs von Web Application Firewall, Reverse Proxy oder Perimeter-Firewall für den gesamten Zeitraum der Exposition sammeln.

• Laufende Support-Sitzungen beenden und neue Sitzungen, Jump Clients, Jumpoints und API-Konten deaktivieren, nicht löschen, damit die Nachvollziehbarkeit bleibt.

• Die Appliance aus einem sauberen, vollständig gepatchten Abbild neu aufbauen, statt sie zu bereinigen. Kunden können das Dateisystem des Hosts nicht prüfen, und Persistenz auf Host-Ebene übersteht Neustarts.

• Alle Zugangsdaten rotieren, die die Appliance gespeichert oder eingefügt hat, auch solche, die jemand in dieser Zeit in eine Support-Sitzung eingegeben hat. Neue Multi-Faktor-Registrierungen privilegierter Konten prüfen.

Mandiant betont, Zugangsdaten erst nach dem Patch oder Neuaufbau zu rotieren. Sonst könnten neue Zugangsdaten an einen Angreifer gelangen, der die Appliance noch kontrolliert. Wer Hinweise auf eine Ausnutzung entdeckt, soll sich bei Beyondtrust mit einer Support-Anfrage der Stufe „Sev 1“ unter Angabe von „BT26-05“ melden.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Missbrauch von Group Policies und vielfältige Tools

LongNosedGoblin spioniert Regierungen in Asien aus

(ID:50991888)