Çin bağlantılı grup BeyondTrust Remote Support'taki açığı haftalarca yamasızken kullandı

BeyondTrust’ın uzaktan destek ürünü Remote Support’ta, üretici farkına varmadan önce saldırılarda kullanılan kritik bir açık ortaya çıktı. Şirket 15 Ekim’de yayımladığı bültende CVE-2026-102764 numaralı açığı duyurdu. Açık, ürünün iç mesajlaşma bileşenlerinin gelen mesajların nereden geldiğini yeterince denetlememesinden kaynaklanıyor ve belirli koşullarda saldırganın cihaz üzerinde dosya işlemleri yapmasına izin veriyor. CVSS 4.0 puanı 9.3. BeyondTrust, açığın teknik ayrıntılarını şimdilik paylaşmıyor.

Remote Support, kurumların BT ekiplerinin çalışanların ve müşterilerin bilgisayarlarına uzaktan bağlanmak için kullandığı bir sistem. Bu yüzden ele geçirildiğinde saldırgana tek bir sunucudan çok daha fazlasını, bağlanılabilen bütün bilgisayarların listesini ve kayıtlı erişim bilgilerini veriyor.

Google’ın Mandiant ekibine göre açık, ağustos sonundan itibaren sıfırıncı gün olarak kullanıldı. İlk saldırı 29 Ağustos’ta kurum içinde kurulu bir cihaza yapıldı. BeyondTrust, eylül sonunda başka bir güvenlik ürünü üreticisine yönelik benzer saldırıların duyulması üzerine kendi sistemlerinde inceleme başlattı ve barındırdığı bir müşteri ortamında da saldırıyı tespit etti. Mandiant saldırıları, daha önce Citrix NetScaler ve Ivanti Connect Secure açıklarını da kullanan Çin bağlantılı casusluk grubu Armory Castle’a bağlıyor. Grup UNC5221 adıyla da biliniyor.

Saldırganlar cihaza SAWFLY adlı bir PHP web kabuğu yerleştirdi, root yetkisi aldı ve cihazın parola kasasındaki bilgileri toplamaya çalıştı. Ardından ele geçirdikleri yönetici hesaplarıyla uzak oturumlar açarak iç ağdaki bilgisayarlara ulaştı ve yazılım envanteri gibi belgeleri dışarı çıkardı. BARECLAW adlı bir tünel aracıyla erişimlerini sürdürdüler, cihazın yönlendirme ayarlarını bu kanalı gizleyecek şekilde değiştirdiler ve kayıtları sildiler. Haberlere göre BeyondTrust’ın kendi sensörleri olağandışı hareketi yakalamış, ancak uyarılar otomatik bir ön inceleme sistemi tarafından yanlış alarm diye kapatılmıştı.

Önerilen önlemler

BeyondTrust’ın bulut (SaaS) müşterilerinin sistemleri 9 Ekim itibarıyla güncellendi. Kurum içinde kurulu Remote Support cihazlarında 26.2.3 ve öncesi sürümler etkileniyor. 24.3.1 ile 26.2.3 arasındaki sürümlere BT26-05-RS yamasının elle uygulanması, 24.3.1’den eski sürümlerin ise önce desteklenen bir sürüme yükseltilmesi gerekiyor.

Açık haftalarca yamasızken kullanıldığı için yamayı uygulamak tek başına yetmiyor. Mandiant, bu dönemde internetten erişilebilen ve açıktan etkilenen her cihazın incelenene kadar ele geçirilmiş kabul edilmesini öneriyor. Yönetim arayüzüne erişimin kısıtlanması, cihazın dışarıya çıkan bağlantılarının sınırlanması, cihaz dışına aktarılmış kayıtların korunması ve yetki değişiklikleriyle olağandışı destek oturumlarının gözden geçirilmesi öneriler arasında. Ele geçirilme şüphesi varsa cihaz yeniden kurulmadan önce delil saklanmalı ve cihazda kayıtlı bütün erişim bilgileri değiştirilmeli.