Nesta quinta-feira, 15 de outubro, a BeyondTrust, que, entre outros ramos, atua como provedora de suporte remoto, anunciou a vulnerabilidade CVE-2026-102764 afetando essa exata área, com resultado de upload arbitrário de arquivos através de validações de origem impróprias. Dentro deste contexto, a Mandiant, firma de cibersegurança subsidiária da Google, evidenciou a exploração desta vulnerabilidade, como zero-day, pelo grupo de espionagem, suspeito de ligações ao governo chinês, ARMORY CASTLE (também conhecido UNC5221) já no final de
agosto 2026.

Vale ressaltar que junto da análise de ataque do ARMORY CASTLE, foi indicado que organizações tomem ação o quanto antes, visto que a publicação de vulnerabilidades incita ataques oportunistas, não só pelo agente de ameaça publicado.

Cadeia de Ataque

A BeyondTrust e a Mediant não publicaram detalhes técnicos das aplicações, como endpoints afetados, gatilhos para vulnerabilidade ou passos exatos para reprodução, a fim de evitar mais abusos, mas o artigo explicita que o vetor de entrada foi reproduzido em laboratório e da maior ênfase na etapa ‘pós acesso’ obtida em logs de partição protegida por criptografia LUKS.

Foram observadas diversas técnicas para estabelecer permanência, eslação de privilégios e movimento lateral. Dentro delas está o abuso de utilitários da própria CLI da BeyondTrust, também, como templates de configuração e proxy-reverso local, mostrando profundo entendimento do funcionamento interno. Foi também identificado malwares customizados, o webshell SAWFLY e o tunelador BARECLAW, adicionalmente deletando logs e artefatos de endpoints para evitar detecção.

A partir do webshell, estabelecido minutos após uma uma requisição POST desconhecida, o C2 define uma comunicação bidirecional, obfuscada por um parâmetro nas requisições, e executa códigos PHP criptografados na máquina comprometida, criptografando a resposta novamente. Deste modo, o agente escalou privilégios a partir de uma conta local limitada de serviço do site, copiando o executável ‘/bin/sh’ para o diretório ‘/usr/bin’, modificando suas permissões gerais e de SUID, permitindo executar comandos como o proprietário do arquivo, nesse caso root, o que garante um backdoor persistente ao host e acesso a credencias armazenadas.

Para extração de credenciais, foi utilizado a própria ferramenta ‘bt-secrets‘, já para a persistência foi feito um script executado no boot que adiciona uma linha para o template do sudoers liberando acesso privilegiado sem senha para conta local, também forçando a aplicação reconstruir o arquivo ativo a partir deste template, sobrevivendo reboots e resets de configuração.

A partir das credenciais privilegiadas comprometidas foi possível verificar mecanismos de políticas onde o atacante alterava a controle de dispositivos disponíveis em acesso remoto, garantindo autorização permanente e irrestrita para acesso de outros sistemas populados dentro da aplicação. Uma vez conectado, o agente liberava o acesso total pelas próprias ferramentas de suporte e exfiltrava qualquer dado sensível.

Mitigações

Para todos que possuam o serviço de suporte remoto até a versão 26.2.3, indica-se:

• Aplicação imediata do patch BT26-05;
• Isolar aplicações comprometidas ou suspeitas;
• Rotação de credenciais e revisão de configurações;
• Restringir tráfego vindo de aplicações de gerência apenas para os destinos necessários;
• Verificar indicadores de comprometimento, como hash e nomes de arquivos
  utilizados pelo grupo;

Os respectivos blogs da Google e da BeyondTrust fornecem informações mais
detalhadas sobre o caso em análise e métodos de mitigação.

Fontes

[1] GOOGLE CLOUD BLOG. ARMORY CASTLE Exploits BeyondTrust. 2026. Disponível em: https://cloud.google.com/blog/topics/threat-intelligence/armory-castle-exploits-beyondtrust. Acesso em: 19 out. 2026.

[2] BEYONDTRUST BLOG. ARMORY CASTLE and BT26-05: What Security Teams Need to Know. 2026. Disponível em: https://www.beyondtrust.com/blog/entry/bt26-05. Acesso em: 19 out. 2026.

[3] cisa. known exploited vulnerabilities catalog. cybersecurity and infrastructure security agency. disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=cve-2026-102764. acesso em: 19 out. 2026.