Ciberespías chinos explotan un día cero en BeyondTrust para penetrar redes corporativas

Resumen Ejecutivo

• El grupo estatal chino ARMORY CASTLE comprometió la plataforma BeyondTrust Remote Support mediante una vulnerabilidad de día cero antes de existir un parche oficial (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia).
• Los atacantes instalaron el webshell SAWFLY y el túnel BARECLAW para tomar control root y borrar los registros forenses del sistema (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia).
• La exposición permaneció inadvertida durante siete semanas, afectando a instancias SaaS y servidores autohospedados (hecho confirmado; fuente: Informe técnico de inteligencia).
• El borrado deliberado de registros impide confirmar si existen más organizaciones vulneradas no detectadas (hipótesis no confirmada; fuente: Informe técnico de inteligencia).

Desarrollo

El 29 de agosto de 2026, dos servidores de BeyondTrust Remote Support sufrieron la primera incursión no autorizada de la operación (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia). Detrás del ataque se encuentra ARMORY CASTLE —rastreado también como UNC5221 o Warp Panda—, un colectivo de ciberespionaje respaldado por Pekín especializado en vulnerar tecnología de perímetro (hecho confirmed; fuente: SecurityWeek y Informe técnico de inteligencia).

Mecánica del ataque y evasión

La intrusión aprovechó el fallo CVE-2026-102764 (CVSS 9.3), originado por una falta de validación en la mensajería interna que permite manipular archivos de forma remota (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia). Una vez dentro, los intrusos desplegaron la herramienta SAWFLY (mangoapi.php), un webshell PHP con cifrado bidireccional (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia).

Posteriormente, obtuvieron privilegios de root mediante el binario dbus-authd y extrajeron contraseñas utilizando el ejecutable bt-secrets (hecho confirmado; fuente: Informe técnico de inteligencia). Para mantener la persistencia, modificaron el archivo haproxy.conf e integraron el túnel BARECLAW (ingredi_ws), canalizando tráfico cifrado a través de un proxy SOCKS5 (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia). Tras exfiltrar inventarios de software y documentación de red con las utilidades de transferencia del propio sistema, eliminaron sistemáticamente los registros web y de aplicación para borrar sus huellas (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia).

Detección, respuesta y alcance

Aunque los sistemas automatizados clasificaron las primeras alarmas como falsos positivos, BeyondTrust identificó la intrusión el 28 de septiembre tras ser alertada por Mandiant (hecho confirmado; fuente: Informe técnico de inteligencia). La infraestructura SaaS fue saneada en 27 minutos, pero el parche BT26-05-RS para clientes autohospedados se distribuyó el 8 de octubre (hecho confirmado; fuente: SecurityWeek y Informe técnico de inteligencia). CISA añadió la vulnerabilidad a su catálogo KEV el 16 de octubre (hecho confirmado; fuente: Informe técnico de inteligencia).

No consta evidencia pública de que se utilizara inteligencia artificial generativa en la creación del exploit (hipótesis no confirmada; fuente: Informe técnico de inteligencia). Asimismo, el contenido exacto de la petición POST inicial no ha sido recuperado por las fuentes públicas hasta ahora (hipótesis no confirmada; fuente: Informe técnico de inteligencia).

Implicaciones reales para el lector

A partir de mañana, la presencia de herramientas de administración remota en el perímetro representa un riesgo de acceso total no gestionado (valoración/opinión; fuente: Informe técnico de inteligencia). Los administradores de BeyondTrust deben aplicar inmediatamente el parche de seguridad y auditar de forma exhaustiva las cuentas de servicio locales (valoración/opinión; fuente: SecurityWeek y Informe técnico de inteligencia).

Metadatos del informe

Fecha de corte:

2026-10-18

Nivel de confianza:

Alto — la mayoría de los datos se apoyan en las fuentes citadas

Qué sabemos:

** Explotación activa del día cero desde el 29 de agosto contra dos clientes; robo de credenciales con bt-secrets; e instalación de persistencia tras reinicios.

Qué no sabemos:

Alcance global definitivo de organizaciones vulneradas antes de la divulgación. NO CONFIRMADO: Evidencias forenses directas que demuestren el uso de inteligencia artificial generativa por parte del atacante para crear el exploit. NO CONFIRMADO:** El contenido del archivo en la petición POST inicial (app_84304470%2Ephp), no recuperado.

Consecuencias plausibles:

El compromiso de Remote Support concede acceso directo a credenciales administradas, permitiendo saltos laterales y la exfiltración de documentos mediante funciones nativas. Se anticipan campañas oportunistas globales de imitación.

Fuente original: https://www.securityweek.com/chinese-apt-exploited-beyondtrust-vulnerability-as-zero-day/