中国关联 APT 利用 BeyondTrust 零日漏洞，CVSS 评分 9.3

安全厂商 BeyondTrust 披露，其 Remote Support（RS）设备存在一个被追踪为 CVE-2026-102764 的漏洞，CVSS 评分为 9.3，属于消息来源校验不当，可让攻击者在 RS 设备上执行文件操作。Mandiant 与 Google 威胁情报组（GTIG）称，该漏洞已被中国关联的威胁组织 Armory Castle（又称 UNC5221、Warp Panda）作为零日利用。

BeyondTrust 表示，首次利用发生在 8 月 29 日，针对一台由 BeyondTrust 托管和一台自托管的 RS 设备；公司在 9 月 28 日识别该缺陷，9 月 30 日完成补丁，10 月 8 日正式发布修复。截至 10 月 9 日，补丁已应用于所有 Remote Support SaaS 客户，自托管客户需手动安装。

漏洞与影响范围

修复程序包含在 BT26-05-RS 补丁中，覆盖 24.3.1 至 26.2.3 版本。仍在使用 24.3.1 之前版本的客户需先升级到较新版本，再安装该补丁。

攻击时间线

公司于 9 月 28 日识别出该安全缺陷，这一天恰在针对一家安全设备供应商的利用被公开的次日。

公司表示在 9 月 30 日前已制作出补丁，但为完成测试并封堵其他利用路径而延后发布，最终于 10 月 8 日正式推出修复。截至 10 月 9 日，修复该漏洞的补丁已应用于所有 Remote Support SaaS 客户；自托管客户若未启用自动更新，需手动安装。

攻击者手法

Mandiant 与 Google 威胁情报组（GTIG）观察到，该 APT 以一台 BeyondTrust 设备作为初始访问入口，部署 Sawfly webshell 和 Bareclaw 隧道工具与设备交互，随后提升权限并在受害环境中横向移动。Sawfly 是一款轻量级 PHP webshell，具备双向加密的命令与控制通信能力，是该组织在环境中的主要立足点。

部署 webshell 后，攻击者取得设备主机的 root 级控制权，收集凭据，获得站点服务账户的无密码 root 权限，并系统性地删除系统、Web 服务器和应用层日志。随后，攻击者利用窃取的管理员凭据转向 RS 应用，修改该账户权限以控制远程系统，并开始针对内部端点。

Mandiant 与 GTIG 称，攻击者借助设备内置支持工具请求并获得完整文件系统访问权限，利用 BeyondTrust Remote Support 原生文件传输服务，直接从用户桌面环境下载并外泄软件清单等敏感内部文档，用于网络侦察。此外，攻击者还使用了自定义 SOCKS5 代理隧道工具 Bareclaw，该工具支持数据加密、向上游代理串联流量以及身份验证等功能。

各方归因与背景

Mandiant 与 GTIG 将此次零日利用归因于 Armory Castle，该组织也被追踪为 UNC5221 和 Warp Panda，被描述为与中国关联、以长期情报收集为目标的国家支持型间谍组织，惯于针对 SaaS 提供商、科技公司、政府机构、法律服务机构和业务流程外包商。

GTIG 此前曾报告 Armory Castle 利用边缘设备中的多个漏洞，并部署一套庞大的自定义工具，涵盖被动后门、webshell 以及边缘设备的木马化组件。该组织最早在 2023 年 10 月就已活跃，行动中针对的国家和行业范围广泛。

该威胁行为者此前还被发现利用 Citrix NetScaler（CVE-2023-4966，即 CitrixBleed）、Ivanti Connect Secure（CVE-2023-46805、CVE-2024-21887 和 CVE-2025-0282）以及 Dell RecoverPoint for Virtual Machines（CVE-2026-22769）的零日漏洞。

要点

• 漏洞编号 CVE-2026-102764，CVSS 评分 9.3
• 影响 RS 26.2.3 及更早所有版本
• 首次利用发生在 8 月 29 日
• 补丁于 10 月 8 日发布
• 攻击者被归因于中国关联组织 Armory Castle