Kritiek lek in BeyondTrust Remote Support sinds augustus misbruikt bij aanvallen

[Captain Kirk]

Een kritieke kwetsbaarheid in BeyondTrust Remote Support is zeker sinds 29 augustus misbruikt bij aanvallen, aldus BeyondTrust. Op 8 oktober kwam het bedrijf met een beveiligingsupdate. Het bestaan van de kwetsbaarheid en het misbruik daarvan werd gisterenavond pas bekendgemaakt. Via BeyondTrust Remote Support kunnen beheerders allerlei systemen op afstand beheren, waaronder desktops, servers en smartphones. De on-premises versie van de oplossing wordt geïnstalleerd op een fysieke of virtuele server waarvandaan de andere apparaten zijn te beheren.

Het product is meerdere keren het doelwit van aanvallen geweest. Volgens onderzoek maakten aanvallers op 29 augustus misbruik van het kritieke beveiligingslek, aangeduid als CVE-2026-102764. Het gaat om een 'authentication bypass' waardoor ongeauthenticeerde aanvallers toegang tot de server kunnen krijgen. Bij de aanval werd een BeyondTrust-hosted Remote Support instance en een self-hosted Remote Support appliance gehackt. Op 27 september vond een succesvolle aanval tegen een andere 'security device provider' plaats. Dat leidde tot onderzoek en ontdekking van de kwetsbaarheid, aldus BeyondTrust.

Op 8 oktober publiceerde BeyondTrust patch BT26-05 om het probleem te verhelpen. In het geval van SaaS-klanten werd de update automatisch geïnstalleerd. Self-hosted klanten moeten dit zelf doen. Bij de aanvallen installeerden de aanvallers een webshell op de gehackte BeyondTrust-server, om zo toegang te behouden en verdere aanvallen uit te voeren. Vervolgens verhoogt de aanvaller zijn rechten van het web service account naar root. Daarmee heeft de aanvaller volledige controle over het systeem en toegang tot alle credentials die op de server zijn opgeslagen. Ook kan de aanvaller bestanden aanpassen die een reboot of reset van de configuratie overleven.

Cybersecuritybedrijf Mandiant analyseerde de aanvallen en zag dat de aanvallers credentials direct uit de secrets management database op het apparaat wisten te stelen. Verder verwijderen de aanvallers allerlei logbestanden om ontdekking en onderzoek te bemoeilijken, aldus de onderzoekers. De aanvallers vielen ook systemen aan die via Remote Support worden beheerd. Daarbij werden gevoelige interne documenten van endpoints gestolen.

Mandiant stelt dat de aanvallen het werk zijn van een aan China gelieerde aanvalsgroep. Verder benadrukt het cybersecuritybedrijf dat elke BeyondTrust-server die tijdens de kwetsbare periode vanaf het internet toegankelijk was als gehackt moet worden beschouwd totdat onderzoek heeft kunnen plaatsvinden. Mandiant heeft ook Indicators of Compromise gepubliceerd waarmee organisaties kunnen kijken of ze zijn gehackt. Voor CVE-2026-102764 zijn drie andere kwetsbaarheden in Remote Support misbruikt bij aanvallen, aldus het Amerikaanse cyberagentschap CISA.

 

bron: https://www.security.nl