در هفته‌های اخیر، موجی از آسیب‌پذیری‌های بحرانی در تجهیزات لبه (Edge Devices) شرکت‌هایی نظیر Ivanti، Cisco و Palo Alto Networks مشاهده شد. اکنون شرکت BeyondTrust نیز به این فهرست اضافه شده است.
جزئیات آسیب‌پذیری و عامل تهدید
بر اساس گزارش‌های منتشر شده، عامل تهدید مرتبط با چین که توسط Mandiant با نام Armory Castle (سابقاً UNC5221 یا UTA0178) شناخته می‌شود، از یک آسیب‌پذیری زیرو دِی در محصولات Remote Support شرکت BeyondTrust استفاده کرده است. این آسیب‌پذیری با شناسه CVE-2026-102764 و امتیاز CVSS 9.3 رده‌بندی شده است.
این نقص امنیتی در یک جزء پیام‌رسان داخلی (Internal Messaging Component) رخ داده است که قادر نبود منشأ پیام‌های دریافتی را به‌درستی اعتبارسنجی کند. با توجه به اینکه ابزارهای Remote Support برای مدیریت از راه دور سرورها و سیستم‌ها به کار می‌روند، این نقص به مهاجمان اجازه می‌دهد دسترسی کاملی به سیستم‌های هدف پیدا کنند.
تکنیک‌های حمله و ابزارهای اختصاصی
عملیات Armory Castle با سرعت بسیار بالایی اجرا شده است؛ به طوری که تنها ۱۱ دقیقه پس از فعال‌سازی آسیب‌پذیری، یک وب‌شل (Webshell) سفارشی مبتنی بر PHP به نام SAWFLY را در سیستم قربانی مستقر کرده‌اند. مراحل بعدی حمله شامل موارد زیر بوده است:
- سرقت اطلاعات حساس: مهاجمان مستقیماً به سراغ پایگاه داده مدیریت اسرار (Secrets Management Database) رفته و رمزهای عبور، API Keyها و اعتبارنامه‌های Endpointها را استخراج کردند.
- ارتقای سطح دسترسی: مهاجمان توانستند از یک حساب خدماتی استاندارد به سطح دسترسی Admin ارتقا یابند.
- پایداری در شبکه: برای حفظ دسترسی، از اسکریپت‌های خاصی استفاده شده و برای مقابله با تحلیلگران فارنزیک (Forensics)، لاگ‌های سیستم و وب‌سرور را پاک کردند.
- تونل‌زنی: ابزار جدیدی به نام BARECLAW برای ایجاد تونل‌های SOCKS5 معرفی شد تا امکان نفوذ به سیستم‌های داخلی و خروج داده‌های حساس فراهم شود.
روند هدف قرار دادن تجهیزات Edge
این حادثه بخشی از یک الگوی گسترده‌تر است. در همین بازه زمانی، آسیب‌پذیری‌های دیگری نیز گزارش شده‌اند:
- Ivanti: زنجیره‌ای از اکسپلویت‌های Zero-Day شامل Bypass احراز هویت و RCE در VPNهای Connect Secure.
- Cisco: آسیب‌پذیری CVE-2026-76519 در Secure Email Gateway با امتیاز CVSS 9.8.
- Palo Alto Networks: نقص RCE بحرانی در PAN-OS با شناسه CVE-2026-0322.
توصیه‌های امنیتی برای مدیران SOC و CISOها
شرکت BeyondTrust وصله‌ای برای رفع این مشکل در تاریخ ۹ اکتبر منتشر کرده است. برای سازمان‌هایی که از نسخه‌های On-prem استفاده می‌کنند، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: نصب سریع‌ترین Patch موجود برای رفع CVE-2026-102764.
- محدود کردن دسترسی: کاهش حداکثری مواجهه (Exposure) ابزارهای مدیریت شبکه با اینترنت.
- کنترل‌های جبرانی: استفاده از Web Application Firewall (WAF) در برابر تجهیزات لبه و چرخش دوره‌ای (Rotate) رمزهای عبور و API Keyها.
- ایزوله‌سازی: محدود کردن ترافیک خروجی تجهیزات لبه تنها به نقاط انتهایی (Endpoints) معتبر سازنده.
