Um grupo de ataque patrocinado pelo estado chinês, identificado como Armory Castle, vem explorando uma vulnerabilidade zero-day na BeyondTrust desde agosto de 2026. A falha, rastreada como CVE-2026-102764, permitia acesso inicial em sistemas que utilizam o produto da BeyondTrust para gestão de acesso.
O que os atacantes fizeram
Segundo o relatório, o grupo usou a vulnerabilidade para:
- Acesso inicial em sistemas de gestão de acesso
- Implantação de ferramentas customizadas para persistência
- Exclusão de logs e artefatos para dificultar a detecção
A exploração ocorreu em ambiente de produção, não em laboratório. Os atacantes operaram de forma discreta, apagando trilhas de auditoria.
Por que isso é grave
A BeyondTrust é amplamente utilizada em ambientes corporativos para controle de acesso remoto. Uma falha nesse tipo de produto pode comprometer a segurança de toda a infraestrutura, pois o atacante já tem credenciais privilegiadas.
A vulnerabilidade foi corrigida pela BeyondTrust, mas organizações que ainda não aplicaram o patch estão expostas.
Recomendação
- Aplicar o patch da BeyondTrust imediatamente.
- Revisar logs de acesso remoto nos últimos 3 meses.
- Auditar contas de acesso remoto em busca de atividades anômalas.
Contexto
A exploração de zero-days por APTs chineses é um padrão recorrente. O grupo Armory Castle já foi vinculado a campanhas de espionagem contra setores de defesa e tecnologia.
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.