Armory Castle explota zero-day crítico en BeyondTrust Remote Support para comprometer redes corporativas
El grupo de ciberespionaje vinculado a China aprovechó la vulnerabilidad CVE-2026-102764 para obtener acceso root, robar credenciales y pivotar a sistemas internos.
El grupo de ciberespionaje respaldado por el gobierno chino, identificado como Armory Castle (también rastreado como UNC5221 o Warp Panda), explotó una vulnerabilidad de día cero en las soluciones de BeyondTrust Remote Support. La falla, catalogada como CVE-2026-102764 y con una severidad crítica de 9.3 en la escala CVSS, fue aprovechada en ataques selectivos desde finales de agosto de 2026 antes de que el fabricante publicara las correcciones correspondientes.
El problema de seguridad radica en la validación inadecuada del origen en un componente de mensajería interna del aplicativo de Remote Support. Esta omisión permite a un atacante remoto no autenticado realizar operaciones sobre el sistema de archivos del servidor perimetral, derivando en una omisión de controles que abre la puerta a la toma total del dispositivo.
Cadena de ataque y post-explotación
De acuerdo con análisis técnicos compartidos por Mandiant y Google Threat Intelligence Group (GTIG), los operadores establecieron persistencia inicial desplegando Sawfly, una webshell ligera basada en PHP con capacidades de comunicación bidireccional cifrada hacia su infraestructura de comando y control (C2). Para ofuscar su procedencia, el grupo enrutó tráfico a través de nodos VPN comerciales y enrutadores domésticos o de pequeñas oficinas previamente comprometidos.
Una vez afianzado el acceso, Armory Castle escaló privilegios hasta el nivel root mediante la copia del ejecutable del sistema /bin/sh hacia la ruta /usr/bin/dbus-authd, asignándole permisos SUID. Posteriormente, extrajeron credenciales, contraseñas y llaves de API directamente de la base de datos de administración de secretos del dispositivo empleando la herramienta propietaria por línea de comandos /ns/sbin/bt-secrets.
Con el control administrativo del aplicativo, los atacantes utilizaron la función de salto (Jump Items) y las herramientas integradas de transferencia de archivos para acceder a estaciones y servidores internos, descargando inventarios y documentación sensible para reconocimiento de red. Asimismo, instalaron Bareclaw, un tunelizador proxy SOCKS5 personalizado desarrollado en C, y modificaron el archivo de configuración /ns/config/haproxy.conf para garantizar acceso directo desde internet, eliminando de forma sistemática los registros del sistema operativo, del servidor web y de la aplicación para evadir el análisis forense.
Impacto para organizaciones en México y la región
En México y América Latina, BeyondTrust Remote Support (anteriormente Bomgar) es una plataforma ampliamente desplegada en sectores como servicios financieros, telecomunicaciones, maquiladoras y proveedores de servicios administrados (BPO y MSP) para labores de soporte de mesa de ayuda y acceso de administración remota. Armory Castle cuenta con un historial de atacar dispositivos en el perímetro corporativo —como vulnerabilidades previas en Citrix NetScaler e Ivanti Connect Secure— y suele cambiar a una explotación masiva y oportunista tan pronto como los detalles técnicos se hacen públicos.
Cualquier organización en la región con instancias locales expuestas a internet durante la ventana de explotación (desde finales de agosto) debe operar bajo la presunción de compromiso y realizar una auditoría forense rigurosa antes de considerar el equipo seguro.
Mitigaciones e indicadores de compromiso
BeyondTrust confirmó que sus entornos SaaS fueron mitigados de manera automática a partir del 9 de octubre de 2026. Para implementaciones locales (self-hosted), las áreas de seguridad deben actuar de inmediato:
- Aplicación de parches: Instalar la actualización BT26-05-RS. Esta aplica a versiones entre la 24.3.1 y la 26.2.3. Las instancias en versiones anteriores a 24.3.1 deben actualizarse primero a una versión intermedia compatible antes de aplicar el parche. Se recomienda aplicar la misma precaución en Privileged Remote Access (PRA) debido al código compartido.
- Revisión de persistencia y archivos sospechosos: Inspeccionar la existencia del binario anómalo
/usr/bin/dbus-authdcon permisos SUID, así como modificaciones no autorizadas en/ns/config/haproxy.conf. - Búsqueda de herramientas no autorizadas: Auditar el entorno en busca de llamadas a la utilidad
/ns/sbin/bt-secrets, la presencia de la webshell PHP Sawfly o tráfico saliente/entrante asociado al proxy Bareclaw. - Rotación de secretos: Forzar la rotación inmediata de todas las credenciales de administración, cuentas de servicio y secretos almacenados en el módulo de gestión de la consola.