به گزارش کارگروه امنیت سایبربان؛ به گفته محققان، یک گروه هکری تحت حمایت چین از یک آسیب‌پذیری روز صفر جدید در نرم‌افزار «BeyondTrust» برای انجام حملات جاسوسی استفاده کرده است.
BeyondTrust، ماندیانت (Mandiant) و گروه اطلاعات تهدید گوگل (GTIG) این آسیب‌پذیری روز صفر را تأیید و گزارش‌های حادثه‌ای را منتشر کردند که جزئیات حملات مربوط به این اشکال را شرح می‌داد.
این شرکت امنیت هویت اعلام کرد که آسیب‌پذیری روی دستگاه‌های پشتیبانی از راه دور آن تأثیر می‌گذارد که تیم‌های فناوری اطلاعات را قادر می‌سازد تا به طور ایمن به نقاط پایانی از راه دور دسترسی داشته باشند و عیب‌یابی کنند. یک پچ برای رفع این مشکل منتشر شده و چندین راهکار برای کاهش آن در دسترس است. سایر شرکت‌های امنیت سایبری نیز از آن زمان سوءاستفاده را تأیید کرده‌اند.
شرکت اعلام کرد که اولین بار در ۲۷ سپتامبر قبل، زمانی که حمله‌ای علیه دستگاه‌های پیشرفته یک فروشنده دیگر علنی شد و تحقیقات در مورد یک مسئله مشابه را آغاز کرد، از این اشکال با برچسب «CVE-2026-102764» مطلع شده است. ماندیانت همچنین به BeyondTrust در مورد یک آسیب‌پذیری بالقوه هشدار داد و تیم مهندسی این شرکت را به جستجویی فرستاد که آنها را در 29 اوت امسال به یک آسیب‌پذیری روز صفر سوق داد.
پاسخگویان حادثه ماندیانت گفتند که مهاجمان پس از سوءاستفاده از این اشکال توانستند امتیازات خود را افزایش دهند، به صورت جانبی در شبکه قربانی حرکت و جای پای عمیق‌تری ایجاد کنند.
آنها خاطرنشان کردند که گروه پشت این حملات، موسوم به «Armory Castle» یا «UNC5221»، به دلیل سوءاستفاده از ابزارهای اختصاصی، از درک عمیقی از اجزای داخلی دستگاه BeyondTrust بهره برده‌اند. ماندیانت اعتقاد دارد که این گروه از بدافزارهای سفارشی به نام‌های «Sawfly» و «Bareclaw»، استفاده می‌کنند.
عاملان تهدید راهی برای به دست آوردن هر اعتبارنامه ذخیره شده در دستگاه پیدا کردند و توانستند فایل‌هایی را که از راه‌اندازی مجدد و تنظیم مجدد پیکربندی جان سالم به در می‌برند، تغییر دهند.
ماندیانت هشدار داد که هر دستگاه آسیب‌پذیر که از طریق اینترنت قابل دسترسی بود، باید تا زمان بررسی، به عنوان یک دستگاه بالقوه در معرض خطر در نظر گرفته شود.
جمع‌آوری اطلاعات بلندمدت
BeyondTrust ارزیابی ماندیانت را تأیید کرد که Armory Castle یک عملیات جاسوسی تحت حمایت دولت چین با تمرکز بر جمع‌آوری اطلاعات بلندمدت است.
این شرکت با اشاره به اینکه محققان معتقدند این گروه شرکت‌های فناوری را برای کمک به کشف سایر سوءاستفاده‌های روز صفر هدف قرار می‌دهد، گفت:
«اهداف مستند ARMORY CASTLE شامل خدمات حقوقی، ارائه‌دهندگان نرم‌افزار بدون سرویس (SaaS)، برون‌سپاران فرآیندهای تجاری، شرکت‌های فناوری و دولت است.»
این گروه پیش از این مسئول سوءاستفاده از چندین آسیب‌پذیری در دستگاه‌های پیشرفته محبوب بود و به استفاده از درهای پشتی غیرفعال و سایر ابزارهای جدید برای حفظ دسترسی خود به سیستم‌های نقض‌شده شناخته شده بود.
گروه مذکور از اکتبر ۲۰۲۳ فعال بوده و گوگل اعلام کرد که آنها طیف گسترده‌ای از کشورها و صنایع را در طول عملیات‌های خود هدف قرار داده‌اند.
آنها گفتند:
«در کمپین‌های گذشته، ARMORY CASTLE پس از افشای عمومی آسیب‌پذیری‌هایی که به صورت گزینشی به عنوان آسیب‌پذیری‌های روز صفر مورد سوءاستفاده قرار داده بود، سوءاستفاده گسترده و فرصت‌طلبانه‌ای انجام داده و قبل از استقرار پچ‌ها، برای نفوذ به سازمان‌های هدف تلاش کرده است. این امکان وجود دارد که ما شاهد تلاش‌های گسترده سوءاستفاده مشابه مرتبط با CVE-2026-102764 باشیم.»
گوگل این وضعیت را با حوادث قبلی مقایسه کرد که در آن همان عوامل تهدید، سوءاستفاده گسترده‌ای از دو اشکال تأثیرگذار بر محصولات شرکت فناوری اطلاعات ایوانتی پس از افشای آنها انجام دادند. شرکت Armory Castle پیش از این نیز در سوءاستفاده از آسیب‌پذیری‌های روز صفر که سیتریکس (Citrix) و همچنین چندین مشکل در محصولات ایوانتی (Ivanti)، از جمله «CVE-2023-46805»، «CVE-2024-21887» و «CVE-2025-0282» را تحت تأثیر قرار داده بود، دست داشته است.
BeyondTrust گفت:
«در سال 2025، ماندیانت گزارش داد که این عامل، پچ ایوانتی را برای نقصی که کم‌خطر ارزیابی شده بود، برداشته، آن را مطالعه کرده و به اجرای کد از راه دور علیه دستگاه‌های پچ نشده تبدیل کرده است. این عامل به صورت انتخابی از آسیب‌پذیری روز صفر علیه اهداف انتخاب شده استفاده می‌کند و هنگامی که آسیب‌پذیری عمومی می‌شود، معمولاً به سوءاستفاده گسترده از هر نمونه‌ای که هنوز پچ نشده، روی می‌آورد.»
سال گذشته، ماندیانت و چندین سازمان آمریکایی در مورد فعالیت این گروه که دولت‌ها، شرکت‌های حقوقی، ارائه‌دهندگان نرم‌افزار به عنوان سرویس و شرکت‌های فناوری را هدف قرار می‌دهد، هشدار دادند.
