„Die Schwachstelle befindet sich in internen Komponenten von Remote Support", erklärte BeyondTrust in einer Warnmeldung am Donnerstag. „Die Komponenten haben die Herkunft der empfangenen Nachrichten nicht ausreichend validiert. Unter den richtigen Bedingungen konnte dies genutzt werden, um Dateioperationen auf der Appliance durchzuführen."

Für alle SaaS-Kunden von Remote Support wurden die Korrekturen mit Stand 9. Oktober 2026 ausgerollt. Betreiber selbst gehosteter Installationen der Versionen 24.3.1 bis 26.2.3 müssen den Patch BT26-05-RS manuell einspielen. Wer eine ältere Version als 24.3.1 einsetzt, muss zunächst auf eine neuere Version aktualisieren, um den Fix anwenden zu können.

Nach der von BeyondTrust veröffentlichten Chronologie nutzte Armory Castle die Lücke am 29. August 2026 als Zero-Day gegen eine einzelne selbst gehostete Remote-Support-Appliance. Am 27. September 2026 wurde demnach die „erfolgreiche Ausnutzung bei einem anderen Anbieter von Sicherheits-Appliances" öffentlich, was das Unternehmen veranlasste, eine Untersuchung nach vergleichbaren Aktivitäten einzuleiten.

Die Gruppe ist seit Oktober 2023 aktiv und hat in der Vergangenheit Zero-Days in Citrix NetScaler (CVE-2023-4966) sowie in Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 und CVE-2025-0282) ausgenutzt. Betroffen waren dabei unter anderem Rechtsdienstleister, SaaS-Anbieter, Business-Process-Outsourcer, Technologieunternehmen und Regierungsstellen – mit dem Ziel langfristiger Informationsbeschaffung.

„Der Akteur setzt einen Zero-Day gezielt gegen ausgewählte Ziele ein, und sobald die Schwachstelle öffentlich ist, geht er typischerweise zur breiten Ausnutzung jeder noch ungepatchten Instanz über", so BeyondTrust. „Unsere vorläufige Einschätzung ist, dass dieser Akteur hochwertige Softwareziele im Voraus auswählt und ein funktionierendes Modell der anvisierten Produkte in einem KI-Kontext vorhält, das er laufend zur Entwicklung von Exploit-Ketten nutzt."

Mandiant, das zu Google gehört, steuerte weitere Details zur Ausnutzung bei. Nach einer erfolgreichen Kompromittierung installieren die Angreifer demnach eine schlanke PHP-Webshell mit dem Codenamen SAWFLY, die interaktiven Fernzugriff und bidirektionale, verschlüsselte Command-and-Control-Kommunikation ermöglicht. Zur Tarnung im regulären Datenverkehr greifen die Operateure auf kommerzielle VPN-Exit-Nodes sowie auf kompromittierte Heim- und Kleinbüro-Router zurück. Über die Webshell weiten sie anschließend ihre Rechte aus, übernehmen die vollständige administrative Kontrolle über die Appliance und richten eine Persistenz ein, die Neustarts übersteht.

Im Zentrum des Eindringens stehen der Diebstahl von Zugangsdaten durch Auslesen der auf der Appliance gespeicherten Geheimnisse sowie der Missbrauch der administrativen Rechte, um nachgelagerte Systeme zu erreichen und sich seitlich im Netz zu bewegen. Zu den beobachteten Post-Exploitation-Schritten zählen:

  • Erlangen von Root-Kontrolle über den Appliance-Host, indem die System-Shell (/bin/sh) nach “/usr/bin/dbus-authd” kopiert, deren Eigentümer auf root gesetzt und das SUID-Bit gesetzt wurde, sodass die Datei mit den Rechten ihres Eigentümers ausgeführt wird.
  • Versuche, Zugangsdaten direkt aus der nativen Secrets-Management-Datenbank der Appliance abzugreifen – über das herstellereigene CLI-Werkzeug “/ns/sbin/bt-secrets”, das Passwörter, API-Schlüssel und Endpunkt-Zugangsdaten verwaltet, speichert und ausliest.
  • Zugriff auf die BeyondTrust-Konfigurationsvorlagen, um passwortlose Root-Rechte für das Site-Service-Konto zu erhalten.
  • Pivotieren in die BeyondTrust-Remote-Support-Anwendung, um mit kompromittierten Administrator-Zugangsdaten Aufklärung zu betreiben und anschließend Remote-Sitzungen zu nachgelagerten Systemen aus der Jump-Item-Liste der Appliance aufzubauen.
  • Missbrauch der erhöhten Administratorrechte, um Remote-Support-Sitzungen zu internen Endpunkten aufzubauen, vollen Dateisystemzugriff zu erlangen und sensible interne Dokumente für die Netzwerkaufklärung herunterzuladen und zu exfiltrieren.
  • Tunneln von Datenverkehr über das BeyondTrust-Gerät mittels BARECLAW, eines in C geschriebenen, maßgeschneiderten SOCKS5-Proxy-Tunnelers, der TCP-Verbindungen zwischen einem entfernten Client und Zielen weiterleitet.
  • Änderung der Datei “/ns/config/haproxy.conf”, damit BARECLAW direkt aus dem Internet erreichbar ist.
  • Systematisches Löschen von System-, Webserver- und Anwendungsprotokollen, um die Erkennung zu erschweren.

„Während des gesamten Eindringens nutzte Armory Castle ein tiefes Verständnis der Interna von BeyondTrust-Appliances, wie der Missbrauch proprietärer CLI-Werkzeuge, von Startkonfigurationsvorlagen und des lokalen Reverse-Proxy-Routings zeigt", schreiben die Forscher der Google Threat Intelligence Group (GTIG) und von Mandiant – Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch und John Wolfram.

„Jede Appliance, die während des Ausnutzungszeitraums mit einer verwundbaren Version aus dem Internet erreichbar war, sollte als potenziell kompromittiert behandelt werden, bis sie überprüft wurde", heißt es weiter.