شرکت BeyondTrust مشتریان خود را نسبت به یک نقص امنیتی بحرانی در راهکار Remote Support (RS) هشدار داد که از اواخر ماه اوت در حملات زیرو دِی مورد استفاده قرار گرفته است.
محصول Remote Support یک راهکار پشتیبانی سازمانی است که به تیم‌های IT، میزهای کمک (Help Desk) و تیم‌های پشتیبانی مشتریان کمک می‌کند تا مشکلات فنی را به صورت از راه دور (Remote) عیب‌یابی کنند.
جزئیات فنی و دامنه تأثیر
این آسیب‌پذیری که با شناسه CVE-2026-102764 ردیابی می‌شود، یک نقص Authentication Bypass (دور زدن احراز هویت) است که به مهاجمان اجازه می‌دهد بدون داشتن دسترسی، عملیات فایل (File Operations) را روی تجهیزات وصله نشده انجام دهند. این مشکل نسخه‌های ۲۶.۲.۳ و قدیمی‌تر RS را تحت تأثیر قرار داده است.
شرکت BeyondTrust این مشکل را برای تمامی مشتریان SaaS در تاریخ ۸ اکتبر برطرف کرد، اما نسخه‌های Self-hosted در صورتی که به‌روزرسانی خودکار فعال نباشد، باید به صورت دستی وصله شوند.
تحلیل حملات و عامل تهدید
این زیرو دِی توسط یک عامل تهدید (Threat Actor) احتمالی مرتبط با چین به نام Armory Castle (که توسط Mandiant و Google GTIG ردیابی می‌شود و CrowdStrike آن را Warp Panda می‌نامد) مورد سوءاستفاده قرار گرفته است.
طبق گزارش تحلیل‌گران Mandiant، هکرهای Armory Castle از این نقص برای دسترسی اولیه استفاده کرده و با فعال‌سازی مجوزهای Set User ID (SUID)، سطح دسترسی خود را به Root ارتقا داده‌اند. در ادامه، این مهاجمان اقدامات زیر را انجام داده‌اند:
- استقرار وب‌شل (Web Shell) جدید به نام Sawfly و بدافزار تونل‌ساز Bareclaw.
- پاک‌سازی لاگ‌ها برای فرار از شناسایی (Detection Evasion).
- حرکت عرضی (Lateral Movement) در شبکه قربانی با استفاده از اعتبارنامه‌های Administrator سرقتی.
کارشناسان Mandiant تأکید می‌کنند هر تجهیزاتی که در بازه زمانی حمله از طریق اینترنت در دسترس بوده و نسخه‌ای آسیب‌پذیر داشته است، باید به عنوان سیستم احتمالی مورد نفوذ (Compromised) در نظر گرفته شود و مورد بازرسی قرار گیرد.
سوابق و تهدیدات مشابه
گروه Armory Castle سابقه‌ای طولانی در هدف قرار دادن تجهیزات لبه شبکه (Edge Appliances) دارد و پیش از این از زیرو دِی‌های محصولات Citrix NetScaler و Ivanti Connect Secure برای نفوذ به شبکه‌های سازمانی استفاده کرده است.
این مورد جدیدترین مورد از زنجیره آسیب‌پذیری‌های BeyondTrust است. پیش از این، گروه Silk Typhoon نیز از زیرو دِی‌های متعددی برای نفوذ به سیستم‌های این شرکت و دسترسی به نمونه‌های SaaS، از جمله سیستم‌های وزارت خزانه‌داری ایالات متحده، استفاده کرده بود.
