BeyondTrust ha corregido un fallo crítico en Remote Support, su herramienta de soporte técnico a distancia, que permite a un atacante subir archivos al equipo sin iniciar sesión. El fallo, CVE-2026-102764, tiene una gravedad de 9.3 sobre 10, y según Mandiant, la empresa de seguridad de Google, un grupo de espionaje vinculado presuntamente a China lo explotaba en secreto desde finales de agosto para robar las credenciales que guardan estos equipos.
Remote Support, conocido antes como Bomgar, es el programa con el que los departamentos de informática de muchas empresas y organismos se conectan a los ordenadores de sus empleados para resolverles problemas. Suele instalarse como un equipo propio, conectado a internet, que guarda en una «bóveda» las contraseñas y claves de acceso a los sistemas que administra. Eso lo convierte en un objetivo muy valioso: quien lo controla tiene las llaves de buena parte de la red. No es la primera vez que pasa: a finales de 2024, un fallo de esta misma herramienta se usó en el ataque al Departamento del Tesoro de Estados Unidos.
Claves del ataque
- El fallo. Unos componentes internos de Remote Support no comprobaban bien el origen de los mensajes que recibían. Sin necesidad de contraseña, un atacante podía subir archivos al equipo, y de ahí tomar el control completo. Afecta a todas las versiones hasta la 26.2.3.
- Los atacantes. Mandiant lo atribuye a ARMORY CASTLE, un grupo al que antes llamaba UNC5221, activo desde al menos octubre de 2023, especializado en atacar equipos expuestos a internet y que, según la empresa, probablemente trabaja para el espionaje chino.
- Qué hacían dentro. Subían una puerta trasera web, que Mandiant llama SAWFLY, se daban permisos de administrador total con una copia del intérprete de órdenes, vaciaban la bóveda de credenciales con una herramienta del propio equipo y borraban los registros. Después entraban en la consola con cuentas de administrador, abrían sesiones de soporte remoto en otros ordenadores y se llevaban documentos.
- Escondidos. Instalaban un túnel, BARECLAW, que les daba acceso a la red interna a través de una dirección web disfrazada, y su acceso sobrevivía a reinicios y a restablecer la configuración.
- El parche. La versión en la nube se corrigió el 9 de octubre. En los equipos propios hay que instalar el parche BT26-05; las versiones anteriores a la 24.3.1 tienen que actualizarse primero. La CISA, la agencia de ciberseguridad de Estados Unidos, lo añadió el 16 de octubre a su catálogo de fallos explotados y da a los organismos federales hasta el 19 para corregirlo.
Por qué importa
Ahora que el fallo es público, Mandiant advierte de que hay que prepararse para una «posible explotación masiva»: otros grupos estudiarán el parche para atacar a quien no lo haya instalado. Y parchear no basta. Como los atacantes llevaban casi dos meses dentro, cualquier equipo expuesto a internet con una versión vulnerable debe darse por posiblemente comprometido. Mandiant recomienda guardar pruebas antes de tocar nada, reconstruir el equipo en lugar de intentar limpiarlo, y cambiar todas las contraseñas de la bóveda solo después de parchear, porque si el atacante sigue dentro se llevaría también las nuevas. También aconseja restringir por IP el acceso a las páginas de administración y exigir autenticación resistente al phishing.
Es otro caso de una tendencia que este mes ya vimos con Ivanti Connect Secure: los grupos de espionaje buscan fallos desconocidos en los equipos que las empresas exponen a internet, como VPN o herramientas de acceso remoto, porque dan acceso directo a la red y son cajas cerradas. Como recuerda Mandiant, los clientes no pueden revisar el sistema de archivos de estos equipos, así que una intrusión puede pasar meses sin que nadie la vea.
Datos contrastados con el informe de Google Threat Intelligence (Mandiant) y la ficha de la NVD, con la gravedad que asigna BeyondTrust y la entrada en el catálogo de la CISA. Portada: ilustración de decodigo.com con órdenes copiadas del informe de Mandiant.
Fuente: Google Threat Intelligence Group, «ARMORY CASTLE Exploits BeyondTrust»