سازمان‌هایی که از تجهیزات BeyondTrust Remote Support استفاده می‌کنند، به دلیل شناسایی حملاتی در محیط واقعی (In-the-wild)، به شدت توصیه شده‌اند تا فوراً به‌روزرسانی‌های امنیتی را نصب کنند.
جزئیات فنی آسیب‌پذیری
شرکت BeyondTrust برای رفع یک آسیب‌پذیری بحرانی با شناسه CVE-2026-102764، وصله‌ای را منتشر کرده است. این نقص امنیتی در تمامی نسخه‌های Remote Support (که پیش‌تر با نام Bomgar شناخته می‌شد) تا نسخه 26.2.3 وجود دارد. همچنین، تجهیزات Privileged Remote Access (PRA) که از کد مشابهی استفاده می‌کنند نیز تحت تأثیر این آسیب‌پذیری هستند و باید سریعاً به‌روزرسانی شوند.
این آسیب‌پذیری در اجزای داخلی Remote Support رخ داده است، جایی که سیستم قادر به اعتبارسنجی صحیح منشأ پیام‌های دریافتی نبوده است. در شرایط خاص، یک مهاجم می‌تواند از این نقص برای انجام عملیات روی فایل‌ها (File Operations) در تجهیزات مورد نظر استفاده کند.
تحلیل عامل تهدید و متدهای حمله
گزارش‌ها حاکی از آن است که این زیرو دِی از ماه اوت مورد سوءاستفاده قرار گرفته است. تحلیل‌ها نشان می‌دهد که عامل تهدید (Threat Actor) وابسته به دولت چین، با نام‌های Armory Castle، Warp Panda یا UNC5221، از این نقص برای هدف قرار دادن سازمان‌های منتخب استفاده کرده است. این گروه معمولاً ابتدا به صورت هدفمند عمل کرده و پس از عمومی شدن آسیب‌پذیری، به حملات گسترده علیه تمامی سیستم‌های به‌روزرسانی‌نشده روی می‌آورند.
محققان گوگل و گروه پاسخ به حوادث Mandiant اعلام کردند که این عامل تهدید در حمله به تجهیزات لبه شبکه (Edge Appliances) تخصص دارد تا دسترسی بلندمدت کسب کرده و سپس به محیط داخلی شبکه قربانی نفوذ کند (Pivot). اکسپلویت موفقیت‌آمیز این آسیب‌پذیری به مهاجم اجازه می‌دهد تا:
- کنترل سطح میزبان (Host-level control) را به دست بگیرد.
- به تمامی اعتبارنامه‌های (Credentials) ذخیره شده یا مدیریت شده توسط تجهیزات دسترسی یابد.
- از بدافزارهای اختصاصی مانند وب‌شل Sawfly و تونل‌ساز Bareclaw برای تعامل با دستگاه استفاده کند.
- برای پنهان ماندن و فرار از شناسایی، لاگ‌های دستگاه و آثار موجود در نقاط انتهایی (Endpoints) را حذف کند.
هشدار در مورد مهندسی معکوس
کارشناسان امنیتی هشدار می‌دهند که با انتشار وصله، احتمال افزایش حملات وجود دارد. مهاجمان ممکن است از مدل‌های زبانی بزرگ (LLM) برای مهندسی معکوس (Reverse Engineering) فریم‌ور به‌روزرسانی شده، شناسایی دقیق آسیب‌پذیری و ساخت اکسپلویت‌های مشابه برای حملات گسترده‌تر استفاده کنند. بنابراین، هر تجهیزاتی که در بازه زمانی حمله در معرض اینترنت بوده و به‌روزرسانی نشده است، باید به عنوان سیستم Compromised (آلوده) در نظر گرفته شده و بررسی شود.
