گروه جاسوسی سایبری مرتبط با چین که با نام Armory Castle (پیش‌تر با نام‌های UNC5221 یا Warp Panda شناخته می‌شد) در اواخر اوت ۲۰۲۶ از یک نقص امنیتی تازه افشا شده در نرم‌افزار BeyondTrust Remote Support (که پیش‌تر Bomgar نامیده می‌شد) به عنوان یک زیرو دِی استفاده کرده است.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری با شناسه CVE-2026-102764 و امتیاز CVSS 9.3 ردیابی می‌شود. این نقص مربوط به اعتبارسنجی نادرست منشاء (Improper Origin Validation) در یک مؤلفه پیام‌رسان داخلی است که به مهاجم اجازه می‌دهد عملیات فایل (File Operations) را روی دستگاه‌های آسیب‌پذیر از راه دور اجرا کند.
شرکت BeyondTrust در هشدار خود اعلام کرد که این مؤلفه‌ها منشاء پیام‌های دریافتی را به طور مناسب بررسی نمی‌کردند و در شرایط خاص، این موضوع منجر به اجرای دستورات روی فایل‌های سیستم می‌شد.
اقدامات اصلاحی و پچ‌ها
- مشتریان SaaS در تاریخ ۹ اکتبر ۲۰۲۶ به‌روزرسانی شده‌اند.
- مشتریان Self-hosted که از نسخه‌های 24.3.1 تا 26.2.3 استفاده می‌کنند، باید به‌طور دستی پچ BT26-05-RS را نصب کنند.
- نسخه‌های قدیمی‌تر از 24.3.1 نیاز به ارتقای کلی به نسخه‌های جدیدتر دارند.
تحلیل رفتاری عامل تهدید (TTPs)
گزارش‌ها نشان می‌دهد که عامل تهدید Armory Castle از این آسیب‌پذیری ابتدا به‌صورت هدفمند روی یک دستگاه خاص استفاده کرده و پس از عمومی شدن نقص، تلاش کرده است تا تمامی نسخه‌های به‌روزرسانی نشده را هدف قرار دهد. این گروه سابقه بهره‌برداری از Zero-Dayها در محصولات Citrix NetScaler و Ivanti Connect Secure را دارد.
بر اساس تحلیل‌های Mandiant، پس از نفوذ موفق، یک وب‌شل PHP سبک به نام SAWFLY برای دسترسی راه دور تعاملی و ارتباطات رمزگذاری‌شده با سرورهای C2 مستقر می‌شود. مهاجمان برای مخفی‌سازی ترافیک خود از نودهای VPN تجاری و روترهای خانگی هک شده استفاده می‌کنند.
هدف نهایی و گسترش نفوذ
پس از استقرار وب‌شل، عامل تهدید اقدام به ارتقای سطح دسترسی (Privilege Escalation) برای کنترل کامل دستگاه و ایجاد تداوم (Persistence) می‌کند تا دسترسی‌ها حتی پس از ری‌بوت سیستم باقی بماند. هدف نهایی این حملات، سرقت اعتبارنامه‌ها از طریق خواندن Secrets ذخیره شده در دستگاه و انجام حرکت عرضی (Lateral Movement) به سیستم‌های داخلی شبکه است.
کارشناسان تأکید می‌کنند هر دستگاهی که در بازه زمانی حمله در معرض اینترنت بوده و از نسخه‌های آسیب‌پذیر استفاده می‌کرده، باید به عنوان سیستم احتمالا آلوده (Compromised) در نظر گرفته شده و مورد بررسی قرار گیرد.
