ВысокийII Кибервойна и критическая инфраструктура16 октября 2026 г., пятница
Связанная с Китаем группа неделями эксплуатировала уязвимость в инструменте удалённой поддержки BeyondTrust
Google и Mandiant сообщили, что уязвимость CVE-2026-102764 в BeyondTrust Remote Support с 29 августа эксплуатировала шпионская группа, связанная с китайским государством. Патч вышел 9 октября, а CISA внесла уязвимость в каталог эксплуатируемых.
Как писал The Record 16 октября, BeyondTrust подтвердила оценку Mandiant, согласно которой речь идёт о шпионской операции при поддержке китайского государства. Google отслеживает группу под названием Armory Castle. Ранее она была известна как UNC5221, у CrowdStrike называется Warp Panda и действует с октября 2023 года. Уязвимость нулевого дня — то есть использованная в атаках до выхода патча от производителя — возникает из-за того, что внутренние компоненты не могут проверить источник сообщения. Через неё атакующий может выполнять файловые операции на устройстве и получать права root.
По данным Cybersecurity Dive, атакующие применяли 2 инструмента: PHP-веб-шелл Sawfly с зашифрованным каналом управления и SOCKS5-туннель Bareclaw. Группа оставила следы, указывающие на доступ ко всем хранящимся на устройстве учётным данным, атаку на базу секретов и выгрузку данных через собственный сервис передачи файлов BeyondTrust. Келли Вандерли из Google сообщила, что число пострадавших организаций пока невелико. При этом не исключается, что до раскрытия были скомпрометированы и другие организации.
Группа атакует юридические фирмы, SaaS-провайдеров, компании бизнес-аутсорсинга, технологические компании и госучреждения. Ранее она использовала уязвимости нулевого дня в Citrix, а также уязвимости Ivanti CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282. SaaS-клиенты получили патч автоматически 9 октября. Клиентам с собственными серверами, согласно уведомлению BT26-05, нужно обновиться вручную. Mandiant рекомендует считать каждое уязвимое устройство с выходом в интернет скомпрометированным, пока оно не проверено.
Оценка Talay
Вывод
Одна и та же группа последовательно использовала Ivanti, Citrix, а теперь и BeyondTrust. Это показывает, что связанный с Китаем шпионаж системно выбирает устройства удалённого доступа на периметре сети как точку входа. Окно в 41 день между 29 августа и 9 октября показывает, что защитники зависели не от патча, а от журналов. Наиболее вероятно, что в ближайшие недели список пострадавших вырастет за счёт юридических и аутсорсинговых компаний.
Возможные последствия
- Поставщики удалённого доступаНегативно1–6 месяцев
Поочерёдные атаки на периферийные устройства трёх разных производителей усложняют клиентам решение держать эти продукты открытыми в интернет и затрудняют страховую оценку.
- Юридические и аутсорсинговые фирмыНегативноНедели
Группа атакует юридические фирмы и компании бизнес-процессов, которые хранят данные многих клиентов. Одно вторжение может обернуться цепочкой утечек.
- Кибернапряжённость США и КитаяНегативноНедели
Подтверждение BeyondTrust государственной атрибуции Китаю наряду с переговорами о перемирии расширяет и киберповестку Вашингтона.
Вероятные сценарии
- 1Список пострадавших растёт55 %
У клиентов с собственными серверами находят новые вторжения, растёт число уведомлений в юридическом и SaaS-секторах.
Что отслеживать: Дополнительные индикаторы угроз и уведомления организаций от Mandiant и CISA в октябре–ноябре
- 2Инцидент остаётся ограниченным30 %
Патч быстро внедряется, число пострадавших организаций остаётся небольшим, и дело закрывается.
Что отслеживать: Обновление GTIG о числе пострадавших организаций
- 3Новая уязвимость периферийного устройства15 %
За несколько недель группа использует новую уязвимость нулевого дня у другого производителя средств удалённого доступа.
Что отслеживать: Новые уязвимости периферийных устройств в каталоге эксплуатируемых уязвимостей CISA
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Первая эксплуатация▼ 29 августа
- Патч▲ 9 октября