CVE-2026-102764: Zero-Day en BeyondTrust Remote Support Explotado por Armory Castle con SAWFLY y BARECLAW

Los dispositivos perimetrales de soporte remoto siguen siendo el objetivo predilecto de los grupos de ciberespionaje estatal. Durante el fin de semana, BeyondTrust (mediante el Aviso de Seguridad BT26-05), en coordinación con Mandiant y el Grupo de Inteligencia de Amenazas de Google (GTIG), reveló CVE-2026-102764, una vulnerabilidad crítica (CVSS 9.3) de validación de origen de mensajes en BeyondTrust Remote Support (anteriormente Bomgar). Las investigaciones confirmaron que el actor de amenazas vinculado a China Armory Castle (anteriormente UNC5221) explotó este fallo como zero-day desde al menos el 29 de agosto de 2026, desplegando la web shell personalizada SAWFLY y el tunelizador BARECLAW. CISA incluyó CVE-2026-102764 en su catálogo KEV el 16 de octubre de 2026.

Causa Raíz Arquitectónica: Suplantación de Origen IPC

Los dispositivos BeyondTrust Remote Support gestionan sesiones de soporte privilegiado a través de una arquitectura interna multidemonio. La vulnerabilidad CVE-2026-102764 (CWE-346 / CWE-290) se origina porque los componentes internos no validan criptográficamente el origen de los mensajes de control inter-componente (IPC). Un atacante remoto no autenticado puede enviar una solicitud HTTP/WebSocket especialmente diseñada que suplanta las cabeceras de origen interno:

POST /get_portal_info HTTP/1.1
Host: support.empresa-objetivo.com
Upgrade: ns-ipc-relay
Connection: Upgrade
X-Bt-Internal-Origin: 127.0.0.1:4432
X-Bt-Component-Auth: IPC_TRUSTED_STORAGE_DAEMON
Content-Type: application/octet-stream
Content-Length: 412

[ Trama IPC Serializada de Operación de Archivos ]
  -> op_code: OP_FILE_WRITE_SYNC (0x14)
  -> target_path: "/var/bomgar/www/ns-api-health.php"
  -> file_mode: 0755

Al confiar en el origen falsificado, el demonio interno ejecuta operaciones de lectura y escritura de archivos arbitrarios, permitiendo la inyección de código en el directorio web del dispositivo.

Cadena Post-Explotación: Escalada a Root, SAWFLY y BARECLAW

• SAWFLY (Web Shell Persistente): Integrada dentro de scripts legítimos del portal de BeyondTrust, SAWFLY solo se activa cuando recibe una cookie cifrada con RC4, ejecutando comandos en memoria mediante tuberías anónimas sin escribir archivos temporales.
• BARECLAW (Tunelizador SOCKS5 Multiplexado): Un binario ELF en C/C++ que se camufla como un demonio interno del sistema y multiplexa túneles SOCKS5 sobre conexiones HTTPS salientes para facilitar el movimiento lateral hacia controladores de dominio y clientes Jump.
• Borrado Antianálisis de Logs: Tras escalar a root, Armory Castle truncó sistemáticamente /var/log/messages, wtmp y las tablas SQLite de auditoría interna del dispositivo.

Telemetría de Detección y Caza de Amenazas

# 1. Buscar scripts modificados o creados recientemente en directorios web de BeyondTrust
find /var/bomgar /usr/local/bomgar -type f \( -name "*.php" -o -name "*.cgi" -o -name "*.pl" \) -mtime -60 -ls

# 2. Identificar binarios ELF BARECLAW ejecutándose desde descriptores eliminados o /dev/shm
ls -la /proc/*/exe 2>/dev/null | grep -E "deleted|/dev/shm|/tmp"

# 3. Detectar archivos de registro truncados a cero bytes
find /var/log -type f -size 0 -ls

Directivas de Remediación

1. Aplicar la Actualización 26.2.4+ Inmediatamente: Mientras que las instancias SaaS fueron parcheadas por BeyondTrust a principios de octubre, los administradores de dispositivos autohospedados deben aplicar el parche BT26-05 (versión 26.2.4 o superior) sin demora.
2. Reconstruir Dispositivos Expuestos y Rotar Credenciales: Si el dispositivo estuvo expuesto desde el 29 de agosto, asuma el compromiso de las credenciales almacenadas y rote todas las cuentas de servicio de Active Directory y tokens de Jump Clients.