BeyondTrust-ի zero-day-ը շահագործվել է մինչև շտկումը

|Հեղինակ: QUASA-ի խմբագրական թիմ|5 րոպե ընթերցանություն
BeyondTrust-ի zero-day-ը շահագործվել է մինչև շտկումը

BeyondTrust-ի հոկտեմբերի 16-ին թարմացված հաղորդագրության համաձայն՝ ARMORY CASTLE-ը 2026 թվականի օգոստոսի 29-ին շահագործել է Remote Support-ի CVE-2026-102764 խոցելիությունը՝ մինչև հոկտեմբերի 8-ին շտկման թողարկումը։ Ընկերությանը հայտնի են երկու խախտված տեղակայումներ՝ իր կողմից սպասարկվող մեկ համակարգ և հաճախորդի ինքնուրույն կառավարվող մեկ սարք։ Խոցելիությունն ու միջադեպը հրապարակայնորեն բացահայտվել են հոկտեմբերի 15-ին. հաղորդագրության թարմացման պահին BeyondTrust-ը օգոստոսից հետո նոր հարձակողական ակտիվության ապացույց չէր հայտնաբերել։

Հայաստանում ինքնուրույն կառավարվող Remote Support օգտագործող կազմակերպության համար շտկման առկայությունն ու նախկին ներխուժման ստուգումը տարբեր հարցեր են։ Թարմացումը փակում է մուտքի հայտնի ճանապարհը, սակայն չի վերացնում մինչև դրա տեղադրումը հնարավոր ձեռք բերված արտոնությունները, փոփոխված կարգավորումները կամ բացված հեռավար սեանսների հետևանքները։ Privileged Remote Access-ի համար նույնպես շտկում կա, բայց դրա շահագործման կարգավիճակը տարբերվում է հաստատված Remote Support միջադեպից։

Որ տեղակայումներն են խոցելի

BeyondTrust-ի BT26-05 անվտանգության ծանուցումը Remote Support-ի մինչև 26.2.3 տարբերակները ներառյալ դասում է խոցելի, ծանրությունը գնահատում է CVSSv4 սանդղակով 9.3, BT26-05-RS շտկումը նախատեսում է 24.3.1–26.2.3 տարբերակների համար և նշում, որ SaaS հաճախորդների համակարգերը շտկված էին 2026 թվականի հոկտեմբերի 9-ի դրությամբ։ Ավելի հին տարբերակից օգտվող ինքնուրույն կառավարվող համակարգը նախ պետք է թարմացվի, որպեսզի հնարավոր լինի կիրառել փաթեթը։ Ավտոմատ թարմացումներին բաժանորդագրված լինելը դեռ տեղադրման հաստատում չէ. սարքի կարգավիճակը պետք է տեսանելի լինի /appliance բաժնում։

Խոցելիությունը գտնվում է Remote Support-ի ներքին հաղորդագրությունների բաղադրիչում. մուտքային հաղորդագրությունների աղբյուրը բավարար չափով չէր ստուգվում։ Որոշ պայմաններում հեռակա հարձակվողը կարող էր սարքում ֆայլային գործողություններ կատարել առանց նույնականացման։ Քննված ներխուժման ժամանակ այդ հնարավորությունն օգտագործվել է ֆայլ վերբեռնելու, ապա սարքի վրա ավելի լայն վերահսկողություն հաստատելու համար։ Համակարգի արտոնյալ հաշիվների և ներքին սարքերի հետ կապն է պատճառը, որ միջադեպի հնարավոր ազդեցությունը չի սահմանափակվում միայն Remote Support-ով։

Privileged Remote Access-ը կիսում է ազդված բաղադրիչի կոդը, և դրա ինքնուրույն կառավարվող տեղակայումների համար թողարկվել է կանխարգելիչ շտկում։ BeyondTrust-ի ներքին փորձարկումներում այդ արտադրանքում խոցելիությունը շահագործելու եղանակ չի հայտնաբերվել։ Ուստի PRA-ի շտկումը պետք է կիրառել անհապաղ, իսկ հաստատված շահագործման մասին տեղեկությունը վերագրել Remote Support-ին։ SaaS և ինքնուրույն կառավարվող տեղակայումների տարբերությունն էլ գործնական է. առաջիններում շտկումը կիրառել է արտադրողը, երկրորդներում դրա կիրառումը պետք է հաստատի հաճախորդը։

Ինչ է արել ARMORY CASTLE-ը մուտք ստանալուց հետո

Mandiant-ի տեխնիկական քննությունը ARMORY CASTLE-ին վերագրում է խոցելիության zero-day շահագործումը և նկարագրում SAWFLY վեբ-հետնադռան ու BARECLAW թունելավորման գործիքի տեղադրումը։ SAWFLY-ն հարձակվողներին թույլ է տվել հրամաններ կատարել սարքի վեբ միջավայրում։ Այնուհետև նրանք բարձրացրել են արտոնությունները մինչև համակարգային մակարդակ և փոխել գործարկման կարգավորումները՝ մուտքը պահպանելու նաև վերագործարկումից հետո։ Այդ շղթայում սովորական վերագործարկումը չի հեռացնում արդեն հաստատված վերահսկողությունը։

Հարձակվողները մուտք են գործել Remote Support-ի կառավարման միջավայր արտոնյալ հաշվով և Jump Items-ի ու Teams-ի հասանելիությունը փոխել No Access-ից Administrator-ի։ Այդ փոփոխությունը նրանց հնարավորություն է տվել բացել հեռավար աջակցության սեանսներ դեպի սարքի միջոցով հասանելի ներքին համակարգեր։ Քննված դեպքի ընթացքում ֆայլերի փոխանցման գործառույթով վերցվել են ներքին տեղեկություններ, այդ թվում՝ տեղադրված ծրագրերի ցանկեր։ Հետևաբար քննության շրջանակում են նաև այդ սեանսների նպատակակետերը և դրանց հետ կապված հավատարմագրերը։

BARECLAW-ը սարքի միջով ցանցային թունել է ստեղծել, իսկ հակադարձ պրոքսիի կարգավորումը փոփոխվել է, որպեսզի արտաքին հարցումները հասնեն այդ գործիքին։ Հարձակվողները նաև ջնջել են համակարգային, վեբ ծառայության և հավելվածային մատյաններ։ Սա բացատրում է, թե ինչու սարքի ներսում պահպանված պատմությունը կարող է թերի լինել. ցանցային սահմանագծում, WAF-ում կամ արտաքին մատյանների հավաքիչում պահված գրառումները կարող են ցույց տալ այն գործողությունները, որոնց տեղական հետքերը վերացել են։

Որոշման ծառ՝ ըստ արտադրանքի և շտկման վիճակի

Առաջին տարբերակումը արտադրանքն է, երկրորդը՝ տեղակայման ձևը։ Դրանից հետո պետք է առանձին պարզել՝ շտկումը կիրառվա՞ծ է, և սարքը խոցելի վիճակում հասանելի՞ է եղել արտաքին ցանցից։ Այս հերթականությունն օգնում է չշփոթել շտկման ընթացիկ կարգավիճակը հնարավոր նախկին խախտման հետ։

  1. Եթե օգտագործվում է արտադրողի կառավարվող Remote Support SaaS-ը, սարքի շտկումն արդեն կիրառված է։ Եթե կան կասկածելի հաշիվներ, սեանսներ կամ կարգավորումների փոփոխություններ, դրանց պատմությունը միևնույն է պետք է քննել. արտադրողի հայտնի դեպքերից մեկը վերաբերում է հենց իր կողմից սպասարկվող տեղակայմանը։
  2. Եթե օգտագործվում է ինքնուրույն կառավարվող Remote Support, /appliance բաժնում հաստատեք տեղադրված տարբերակն ու BT26-05-RS փաթեթի կիրառումը։ Ավտոմատ թարմացումն ակտիվ լինելու դեպքում ստուգեք արդյունքը, իսկ փաթեթը չերևալու դեպքում դիմեք BeyondTrust-ի աջակցությանը՝ նշելով BT26-05։ Հին տարբերակը նախ հասցրեք աջակցվող մակարդակի, ապա կիրառեք շտկումը։
  3. Եթե օգտագործվում է ինքնուրույն կառավարվող Privileged Remote Access, կիրառեք դրա համար թողարկված շտկումը և հաստատեք տեղադրումը։ Ընդհանուր կոդի առկայությունը ինքնին չի նշանակում, որ PRA-ում նույնպես տեղի է ունեցել նույն շահագործումը. կասկածելի ակտիվությունը գնահատեք ձեր տեղակայման իրական գրառումներով։
  4. Եթե Remote Support-ը խոցելի վիճակում հասանելի է եղել ինտերնետից, պահեք մատյաններն ու հնարավոր դատաքննական տվյալները և ստուգեք խախտման նշանները։ Հաստատված կամ չպարզված խախտման դեպքում սահմանափակեք սարքի ցանցային հասանելիությունը, իսկ վերակառուցման և հավատարմագրերի փոխման հերթականությունը որոշեք այնպես, որ նոր գաղտնիքները չանցնեն դեռ վերահսկվող սարքով։

Որ հետքերը պետք է փնտրել

Քննությունը սկսվում է սարքից դուրս պահպանված syslog-ից, հակադարձ պրոքսիի կամ WAF-ի հարցումների պատմությունից, սահմանային ցանցային գրառումներից և Remote Support-ի սեանսների հաշվետվություններից։ Ուշադրության են արժանի անծանոթ արտոնյալ մուտքերը, վեբ ծառայության հաշվից գործարկված համակարգային հրամանները, անհայտ ֆայլերը վեբ պանակներում և մատյանների փոխանցման անսպասելի ընդհատումները։ Սեանսների պատմությունը պետք է կապել կոնկրետ ներքին սարքերի ու ֆայլերի փոխանցումների հետ, որպեսզի պարզ լինի հնարավոր ազդեցության շրջանակը։

Քննված ներխուժման ավելի որոշակի հետքերն են SAWFLY-ի mangoapi.php ֆայլը, BARECLAW-ի ingredi_ws գործարկվող ֆայլը և /uidchanarge ուղին սպասարկող փոխված հակադարձ պրոքսիի կանոնը։ Հաշիվների փոփոխությունների մեջ առանձնապես կարևոր են Jump Items-ի կամ Teams-ի իրավունքների բարձրացումը, նոր արտոնյալ մուտքերը և անսպասելի աջակցության սեանսները։ Միայն հայտնի ֆայլերի բացակայությամբ քննությունը փակել չի կարելի. հարձակվողը կարող է փոխել գործիքի անունը, իսկ սարքի տեղական մատյանները կարող էին ջնջված լինել։

Եթե հայտնաբերվեն ներխուժման նշաններ, սարքի պատճենը և արտաքին գրառումները պետք է պահպանել մինչև վերակառուցումը։ Վտանգված կամ անհայտ կարգավիճակով սարքի համար քննության արդյունքն է որոշում մաքուր, շտկված հիմքից վերատեղակայման և նախկին կարգավորումները վերադարձնելու ծավալը։ Միայն դրանից հետո պետք է փոխել սարքում պահված կամ դրա միջոցով փոխանցված հավատարմագրերը և գնահատել այն ներքին համակարգերը, որոնց հասել են կասկածելի սեանսները։

Կարդացեք նաև:

Կիսվել:

Առնչվող հոդվածներ

Բաժանորդագրվեք մեր տեղեկագրին

Ստացեք Web3-ի, ԱԲ-ի և կրիպտոյի վերջին լուրերն անմիջապես ձեր էլ. փոստին։

0