กลุ่ม APT จีนใช้ช่องโหว่ BeyondTrust เป็น Zero-Day ในการจารกรรม

กลุ่ม APT ของจีนได้ใช้ช่องโหว่ของ BeyondTrust เป็น zero-day มาตั้งแต่เดือนสิงหาคมที่ผ่านมา ซึ่งเป็นส่วนหนึ่งของปฏิบัติการจารกรรมข้อมูลที่ได้รับการสนับสนุนโดยรัฐ

ช่องโหว่ดังกล่าวถูกติดตามด้วยรหัส CVE-2026-102764 (คะแนนความรุนแรง CVSS 9.3) โดยมีสาเหตุมาจากการตรวจสอบต้นทางของข้อความที่ไม่เหมาะสม ส่งผลให้ผู้โจมตีสามารถจัดการไฟล์บนอุปกรณ์ Remote Support (RS) ได้จากระยะไกล

BeyondTrust ระบุว่าซอฟต์แวร์ RS ทุกเวอร์ชันจนถึง 26.2.3 ได้รับผลกระทบทั้งหมด โดยบริษัทได้ออกแพตช์แก้ไขหมายเลข BT26-05-RS สำหรับเวอร์ชัน 24.3.1 ถึง 26.2.3 ส่วนลูกค้าที่ใช้เวอร์ชันเก่ากว่า 24.3.1 ควรเร่งอัปเกรดเป็นเวอร์ชันใหม่ก่อนแล้วจึงติดตั้งแพตช์ตามลำดับ

บริษัทตรวจพบความผิดปกติเมื่อวันที่ 28 กันยายน หลังมีการเปิดเผยข้อมูลการโจมตีอุปกรณ์ด้านความปลอดภัยเพียงหนึ่งวัน อย่างไรก็ตาม พบว่าการโจมตีครั้งแรกเกิดขึ้นตั้งแต่วันที่ 29 สิงหาคม โดยเป้าหมายคืออุปกรณ์ RS ทั้งแบบ self-hosted และแบบที่ BeyondTrust เป็นผู้โฮสต์ให้

แม้จะสามารถสร้างแพตช์ได้ตั้งแต่วันที่ 30 กันยายน แต่บริษัทใช้เวลาทดสอบและตรวจสอบเส้นทางการโจมตีเพิ่มเติม ก่อนจะปล่อยตัวแก้ไขอย่างเป็นทางการในวันที่ 8 ตุลาคม โดย BeyondTrust กล่าว ว่า ณ วันที่ 9 ตุลาคม 2026 ลูกค้ากลุ่ม SaaS ได้รับการอัปเดตครบถ้วนแล้ว ส่วนลูกค้ากลุ่ม self-hosted ที่ไม่ได้ตั้งค่าอัปเดตอัตโนมัติจำเป็นต้องติดตั้งด้วยตนเอง

ข้อมูลจาก Mandiant และ Google Threat Intelligence Group (GTIG) ยืนยันว่า CVE-2026-102764 ถูกใช้โดยกลุ่ม Armory Castle (หรือที่รู้จักในชื่อ UNC5221 และ Warp Panda) ซึ่งเป็นกลุ่มจารกรรมสนับสนุนโดยรัฐจีนที่เน้นเก็บข้อมูลข่าวกรองระยะยาวจากหน่วยงานรัฐบาล บริษัทเทคโนโลยี และผู้ให้บริการเอาต์ซอร์ส

Mandiant และ GTIG พบว่าแฮกเกอร์ใช้อุปกรณ์ BeyondTrust เป็นจุดเริ่มต้นในการเข้าถึงระบบ ก่อนจะติดตั้งเครื่องมืออย่าง Sawfly webshell และ Bareclaw tunneler เพื่อควบคุมอุปกรณ์ ยกระดับสิทธิ์ และเคลื่อนไหวภายในเครือข่าย (lateral movement)

Sawfly ซึ่งเป็น PHP webshell ขนาดเล็กที่มีความสามารถในการสื่อสาร C&C แบบเข้ารหัส ถูกใช้เป็นฐานที่มั่นหลัก ช่วยให้ผู้โจมตีคุมโฮสต์ในระดับ root และขโมยรหัสผ่านได้ นอกจากนี้ยังมีการลบ Log ของระบบและเว็บเซิร์ฟเวอร์อย่างเป็นระบบเพื่อทำลายหลักฐาน

ผู้โจมตียังใช้สิทธิ์ผู้ดูแลระบบที่ขโมยมาได้เข้าควบคุมระบบทางไกล และใช้ฟีเจอร์รับส่งไฟล์ดั้งเดิมของ BeyondTrust ในการดึงข้อมูลเอกสารสำคัญ เช่น รายการซอฟต์แวร์ จากเครื่องเดสก์ท็อปของผู้ใช้โดยตรงเพื่อนำไปใช้ลาดตระเวนเครือข่ายต่อ

นอกจากนี้ยังมีการใช้ Bareclaw ซึ่งเป็น SOCKS5 proxy tunneler ที่สร้างขึ้นเองเพื่อเข้ารหัสและส่งข้อมูลผ่าน proxy ต้นทาง โดย GTIG ตั้งข้อสังเกตว่ากลุ่ม Armory Castle มักใช้เครื่องมือที่สร้างขึ้นเองจำนวนมากในการโจมตีหลายอุตสาหกรรมทั่วโลกมาตั้งแต่ตุลาคม 2023

ในอดีตกลุ่มแฮกเกอร์นี้เคยใช้ช่องโหว่ zero-days ในหลายผลิตภัณฑ์ เช่น Citrix NetScaler (CVE-2023-4966), Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, และ CVE-2025-0282) และ Dell RecoverPoint for Virtual Machines (CVE-2026-22769)