China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers
2026-10-16
El grupo de ciberespionaje Armory Castle, con vínculos en China, explotó una vulnerabilidad de día cero (un fallo que se aprovecha antes de que exista una defensa) en el software BeyondTrust Remote Support a finales de agosto de 2026. La falla, identificada como CVE-2026-102764, tiene una puntuación de severidad de 9.3 y permite a un atacante remoto realizar operaciones de archivos en el equipo afectado debido a una validación incorrecta de mensajes internos.
Según informes de Google y Mandiant, tras el acceso inicial, los atacantes instalan un código de ataque llamado SAWFLY para mantener el control remoto y comunicarse de forma cifrada. El objetivo de estos ataques es el robo de credenciales (nombres de usuario y contraseñas) y el movimiento lateral, es decir, usar el servidor comprometido como trampolín para saltar a otros equipos y sistemas dentro de la red de la empresa víctima.
BeyondTrust ya ha lanzado parches para sus clientes que usan el servicio en la nube (SaaS). Sin embargo, para las empresas que tienen instalado el software en sus propios servidores (self-hosted), es urgente actualizar las versiones que van de la 24.3.1 a la 26.2.3 mediante el parche BT26-05-RS. Aquellos que tengan versiones más antiguas que la 24.3.1 deberán realizar una actualización completa a una versión más reciente para corregir el problema.
Qué significa para una pyme colombiana y cucuteña: Si su equipo de sistemas utiliza BeyondTrust para dar soporte remoto, revise inmediatamente la versión que tiene instalada. Si no usa la versión en la nube, debe aplicar el parche BT26-05-RS de forma urgente. Si detecta que su equipo de soporte ha sido usado para acceder a otras áreas de su red, asuma que sus contraseñas podrían estar comprometidas y proceda a cambiarlas.
cybersecuritynews.com · ijr.com · newsbytesapp.com · cxodigitalpulse.com