‘Armory Castle’: criminosos usam falha grave para invadir servidores de suporte

Cibercriminosos vinculados à China exploraram uma vulnerabilidade grave e recém-revelada no software de suporte remoto da empresa de segurança BeyondTrust para invadir servidores e assumir o controle de sistemas corporativos.

A invasão usou uma brecha “dia zero”, termo usado para designar falhas desconhecidas exploradas antes de qualquer correção.

O problema afetou ferramentas usadas por equipes de tecnologia para acessar computadores e resolver problemas à distância.

Diante da gravidade da situação, a fabricante lançou uma atualização de emergência para corrigir o sistema e orientou os clientes a aplicarem o ajuste o quanto antes.

A BeyondTrust confirmou o incidente, na quinta-feira (15), e informou que conteve o ataque em menos de meia hora após identificar a atividade suspeita em um cliente.

“O componente interno não validava adequadamente a origem das mensagens recebidas.

Sob as condições certas, isso poderia ser usado para realizar operações de arquivo no dispositivo”, declarou a equipe de segurança, em comunicado oficial sobre a vulnerabilidade.

A invasão foi realizada pelo grupo conhecido como Armory Castle , também identificado por consultorias de segurança como UNC5221 ou Warp Panda.

Pesquisadores da Mandiant e do Google Threat Intelligence Group , braço de segurança do Google que investigou o caso, descobriram que o s criminosos utilizaram o acesso inicial para elevar as permissões dentro do servidor afetado.

Com o controle total da máquina, os invasores tentaram extrair senhas armazenadas, manipular rotas internas de rede e criar caminhos para manter o acesso mesmo após eventuais reinicializações do equipamento.

Para esconder as ações maliciosas, o coletivo usou ferramentas personalizadas para criar um canal discreto de navegação e apagou registros internos de auditoria.

Segundo os analistas, o grupo demonstra alto conhecimento técnico dos sistemas que ataca: “Durante a intrusão, o Armory Castle usou um conhecimento profundo das estruturas internas do dispositivo BeyondTrust, conforme evidenciado pelo abuso de utilitários proprietários”, afirmaram Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch e John Wolfram, no relatório técnico conjunto .

Infográfico detalha as oito etapas da invasão do grupo Armory Castle no servidor BeyondTrust Remote Support: desde a exploração inicial da falha (CVE-2026-102764) e instalação do webshell SAWFLY até a elevação de privilégios, roubo de credenciais no cofre de senhas e movimentação lateral pela rede interna das vítimas.

Foto: Reprodução/Mandiant Ainda no comunicado oficial, a empresa informou que atualizou automaticamente todos os clientes que utilizam o serviço em nuvem.