Grupo chinês de espiãoExplora nova vulnerabilidade crítica em produto da BeyondSupport

Um grupo de espião supostamente ligado ao governo chinês, conhecido por explorar zero-days em produtos de segurança, voltou a atacar clientes da BeyondSupport em operações que pesquisadores rastrearam até o final de agosto. A ameaça, identificada pela Mandiant como Armory Castle, anteriormente chamada de UNC5221, explorou a vulnerabilidade crítica CVE-2026-10276, demonstrando diversas táticas para escalar privilégios, mover-se pela rede comprometida e evadir detecção.

Mandiant informou que Armory Castle também explorou repetidamente defeitos em produtos Ivanti desde 2023, incluindo o zero-day Citrix NetScaler conhecido como CitrixBleed e a campanha Brickstorm do ano passado, que manteve uma média de 400 dias de permanência no ambiente. Kelli Vanderlee, analista sênior do Grupo de Inteligência de Ameaças do Google (GTIG), afirmou que, embora poucas organizações sejam afetadas atualmente, o uso de zero-day e a natureza sigilosa da atividade sugerem que outras podem ter sido comprometidas antes da divulgação pública.

A Mandiant e o GTIG divulgaram suas análises após a BeyondSupport revelar oficialmente a vulnerabilidade em seu produto Remote Support na quinta-feira. A empresa lançou um patch para clientes que usam a versão localizada em 8 de outubro e aplicou automaticamente a atualização para versões baseadas em nuvem no mesmo dia.

A BeyondSupport destacou a sofisticação de Armory Castle, explicando que o grupo roda sua infraestrutura e ferramentas para cada vítima, o que complica a atribuição. “Os indicadores de uma única intrusão raramente sobrevivem para a próxima, devido à alta consciência operacional e profissionalidade do ator”, escreveu a equipe de segurança da empresa em seu blog.

A empresa não respondeu sobre quantos clientes já foram afetados ou por que não divulgou o zero-day antes da contenção. No entanto, informou que o primeiro caso conhecido de exploração ocorreu em 29 de agosto, sendo detectado e contido em 28 de setembro. A atividade foi identificada após a confirmação de exploração de zero-days em outro fornecedor de segurança em 27 de setembro, alinhado com uma divulgação semelhante da Citrix NetScaler.

O GTIG destacou que não há evidências suficientes para identificar uma tendência de ataques, mas recomenda que organizações potencialmente vulneráveis apliquem o patch imediatamente e investiguem possíveis atividades pré-divulgação. A ameaça atua principalmente em setores como serviços de terceirização, governos, serviços jurídicos, empresas de tecnologia e provedores de software como serviço (SaaS).

DANIEL PEREZ, líder técnico do GTIG, afirmou: “Armory Castle continua sendo um dos principais atores com nexus chinês devido ao seu foco contínuo em tecnologias de borda, uso de zero-days para exploração em larga escala e seu arsenal em constante evolução.” Vanderlee também destacou que a exploração de dispositivos de borda, que normalmente não suportam detecção baseada em endpoint, permite ao grupo manter acesso sigiloso às redes por longos períodos.

Com informações de: CyberScoop

}