Explotación del fallo zero-day CVE-2026-102764 en BeyondTrust
El grupo de ciberespionaje Armory Castle, denominado previamente UNC5221 y vinculado a operaciones respaldadas por el gobierno chino, explotó la vulnerabilidad crítica zero-day CVE-2026-102764 en la solución Remote Support de BeyondTrust. Este fallo de seguridad permitió a atacantes no autenticados ejecutar operaciones de archivos para obtener control a nivel de host, elevar privilegios y acceder a los depósitos de credenciales gestionados por los dispositivos afectados antes de la emisión oficial del parche en octubre de 2026. [1] [2]
Cronología de la intrusión y detección del ataque
Los análisis desarrollados por Mandiant y BeyondTrust situaron las primeras actividades de explotación intencionada el 29 de agosto de 2026. La intrusión fue identificada y contenida a finales de septiembre de 2026, luego de que informes sobre compromisos en dispositivos perimetrales de otro fabricante de seguridad motivaran una revisión detallada que reveló la presencia del código malicioso en los sistemas de BeyondTrust. [1]
BeyondTrust confirmó la publicación de las actualizaciones de seguridad para clientes con servidores autogestionados el 8 de octubre de 2026, aplicando el parche de forma automática ese mismo día en las instancias en la nube. Aunque por el momento solo se ha confirmado un número reducido de organizaciones directamente afectadas, los investigadores de seguridad advirtieron a los usuarios que deben auditar sus sistemas de forma preventiva ante la posibilidad de compromisos previos no detectados. [1]
Vectores técnicos y herramientas desplegadas en el compromiso
Durante la intrusión, los atacantes desplegaron una webshell en PHP identificada como SAWFLY en la raíz web del dispositivo minutos después de la primera petición maliciosa. A continuación, ejecutaron maniobras de elevación de privilegios modificando ejecutables del sistema con permisos SUID de root e implantaron un script de inicio en la plantilla sudoers para garantizar la persistencia del acceso tras reinicios o restablecimientos de configuración. [2]
El grupo de amenazas intentó extraer el contenido del almacén de credenciales utilizando variaciones de la herramienta en línea de comandos 'bt-secrets' e instaló el túnel SOCKS5 personalizado denominado BARECLAW. Para entorpecer los trabajos de respuesta a incidentes, los atacantes procedieron al borrado de más de una docena de archivos de registro del servidor y de la aplicación. [2]
Perfil operativo del grupo de espionaje Armory Castle
Armory Castle es evaluado por firmas de inteligencia cibernética como un actor de ciberespionaje enfocado en la recolección de información a largo plazo. Sus objetivos documentados incluyen entidades gubernamentales, empresas de tecnología, proveedores de software como servicio (SaaS), firmas de servicios legales e intermediarios de procesos de negocio. [3]
Esta agrupación cuenta con un historial sistemático de aprovechamiento de fallos zero-day en dispositivos perimetrales, habiendo explotado previamente vulnerabilidades en productos de Ivanti y Citrix. En el ámbito de la ciberseguridad, el conjunto de actividad también es rastreado bajo la denominación WARP PANDA por la firma CrowdStrike. [1] [2]
EL FORMATO AUDIOVISUAL
El artículo, en vídeo
El montaje puede incluir material de contexto y recreaciones. Consulta las fuentes para distinguirlos de los registros del caso.
Leer la transcripción del reel
Imagínate que usas una herramienta de asistencia técnica y descubres que alguien la ha convertido en una puerta trasera. Pues justo eso pasó desde finales de agosto con un fallo crítico conocido como CVE-2026-102764 en los dispositivos de BeyondTrust. Un grupo de ciberespionaje vinculado a China, que los investigadores llaman Armory Castle, aprovechó este defecto sin que nadie lo notara para conseguir un control total de los equipos. Lo que hicieron fue desplegar herramientas personalizadas, vaciar el almacén de contraseñas y modificar los permisos para que su acceso sobreviviera incluso a los reinicios. Al final, la compañía lanzó parches de seguridad para cortar de raíz estas intrusiones y proteger a los usuarios afectados. Una muestra clara de cómo operan en la sombra.
TRANSPARENCIA EDITORIAL
Fuentes y alcance
Las referencias permiten contrastar la información. Su presencia no equivale a una verificación independiente de todas las afirmaciones.
- FUENTE SECUNDARIAProlific Chinese espionage group exploits BeyondTrust zero-day
- FUENTE SECUNDARIABeyondTrust zero-day tied to Chinese spies puts Remote Support users on alert
- FUENTE SECUNDARIASuspected Chinese espionage attackers abusing BeyondTrust IT support zero-day
- FUENTE SECUNDARIAProlific Chinese espionage group exploits BeyondTrust zero-day