CISA añade a su catálogo KEV la falla de BeyondTrust Remote Support que un grupo vinculado a China explotó como día cero

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) añadió el 16 de octubre la vulnerabilidad CVE-2026-102764 de BeyondTrust Remote Support a su catálogo de vulnerabilidades explotadas conocidas (KEV) y publicó una alerta en la que pide a las organizaciones con equipos propios afectados que apliquen el parche de inmediato. Según CISA, actores maliciosos están explotando la falla para obtener acceso inicial y, a partir de ahí, establecer persistencia, escalar privilegios y moverse lateralmente por las redes.

Remote Support, conocido antes como Bomgar, es la plataforma que muchos equipos de TI usan para conectarse a equipos de usuarios y servidores y resolver incidencias, por lo que suele concentrar credenciales privilegiadas. El aviso BT26-05, publicado por BeyondTrust el 15 de octubre, describe una validación incorrecta del origen de los mensajes en un componente interno de mensajería que permite a un atacante remoto realizar operaciones con archivos en el equipo. La empresa la califica como crítica, con una puntuación CVSS 4.0 de 9,3, y la asocia a CWE-290, evasión de autenticación por suplantación; CISA la describe como una falla de evasión de autenticación. Afecta a todas las versiones hasta la 26.2.3. El parche BT26-05-RS cubre de la 24.3.1 a la 26.2.3, quienes usen versiones anteriores deben actualizar antes de aplicarlo, y las instancias en la nube de BeyondTrust ya habían sido corregidas el 9 de octubre.

El mismo día del aviso, Mandiant y el Google Threat Intelligence Group publicaron el análisis de un incidente en el que atribuyen la explotación, como día cero desde finales de agosto, a ARMORY CASTLE, un actor de espionaje que consideran probablemente vinculado a China y que antes seguían como UNC5221. Tras explotar la falla, el atacante instaló SAWFLY, un webshell en PHP que cifra su canal con RC4 y responde con un error 404 si la petición no trae un parámetro concreto, para esquivar escáneres. Luego copió el intérprete de comandos del sistema con permisos SUID de root para obtener una puerta trasera privilegiada, intentó volcar la bóveda de credenciales del equipo con una utilidad administrativa propia de BeyondTrust y modificó una plantilla de configuración para que una cuenta de servicio mantuviera privilegios de root sin contraseña incluso después de reinicios.

Los investigadores también documentaron el uso de una cuenta de administrador para elevar permisos dentro de la aplicación, abrir sesiones de soporte hacia equipos internos y extraer documentos como inventarios de software. El tráfico se encaminaba a través de BARECLAW, un túnel SOCKS5 sobre WebSocket escrito en C, expuesto a internet mediante cambios en la configuración de HAProxy del propio equipo. El atacante borraba registros de forma sistemática. Google advierte que, tras la divulgación pública, el grupo y otros actores podrían lanzar campañas de explotación masiva, como ocurrió en 2024 tras la publicación de CVE-2023-46805 y CVE-2024-21887 en Ivanti Connect Secure.

CISA recomienda limitar el acceso externo al equipo a los servicios imprescindibles y restringir las interfaces de administración a redes de confianza. Para quienes sospechen un compromiso, pide aislar el equipo, conservar imágenes forenses, reenviar los registros a un SIEM, reconstruir desde un estado limpio y parcheado y, solo después, rotar todas las credenciales que el equipo almacenó o inyectó, revocar sesiones activas y revisar nuevos registros de autenticación multifactor en cuentas privilegiadas.

Como análisis, el caso repite un patrón conocido: equipos perimetrales y de acceso remoto con un gran valor como intermediarios de credenciales, explotados en silencio durante semanas antes del parche. La inclusión en el catálogo KEV, además, suele servir de referencia de prioridad para equipos de seguridad fuera del Gobierno estadounidense. Para quienes tuvieron el equipo expuesto con una versión vulnerable, Mandiant recomienda tratarlo como potencialmente comprometido hasta revisarlo, porque parchear cierra la puerta pero no elimina la persistencia que ya se haya instalado.