Zero-Day da BeyondTrust CVE-2026-102764: acesso remoto seguro

Por que os invasores miram appliances de acesso remoto? Porque comprometer um deles dá alcance, credenciais e discrição em uma só etapa. Esta campanha mostra as três coisas.

• Alcance. Segundo a análise da Mandiant, os invasores usaram credenciais de administrador comprometidas para iniciar sessões remotas para os sistemas do inventário Jump Item do appliance e depois baixaram documentos internos sensíveis.
• Credenciais. Usaram o próprio utilitário de linha de comando do appliance para tentar obter senhas, chaves de API e credenciais de endpoints armazenadas, e alteraram modelos de configuração para conseguir acesso root sem senha a uma conta de serviço.
• Discrição. Roteavam o tráfego por nós de saída de VPNs comerciais e por roteadores domésticos e de pequenos escritórios comprometidos, e apagaram os logs do sistema, do servidor web e da aplicação para dificultar a investigação.

A linha do tempo é a parte incômoda. A exploração começou em 29 de agosto e o aviso público saiu em 15 de outubro, cerca de seis semanas e meia depois. Nesse intervalo, nenhuma assinatura ou correção teria protegido um appliance exposto. Essa é a marca de um zero-day, e explica por que a orientação do Google é tão direta: todo appliance que estava acessível pela internet com uma versão vulnerável durante a janela de exploração deve ser tratado como potencialmente comprometido até ser revisado.

Também faz parte de um padrão. Neste mesmo trimestre houve falhas exploradas em VPNs, firewalls, gateways de e-mail e consoles de backup. Os sistemas de borda e de gerenciamento são hoje o ponto de partida dos invasores porque são expostos, privilegiados e muitas vezes pouco monitorados.

Como funciona a cadeia de ataque contra o BeyondTrust? Com base na análise publicada, ela se desenrola em etapas:

1. Acesso inicial. O invasor explora o CVE-2026-102764 para realizar operações de arquivos no appliance e instalar um web shell leve em PHP chamado SAWFLY, que dá acesso interativo e comando e controle criptografado.
2. Escalonamento de privilégios. Ele copia o shell do sistema para um novo arquivo, define o proprietário root e o bit SUID e obtém acesso root.
3. Roubo de credenciais e movimentação lateral. Os segredos armazenados são coletados e abrem-se sessões remotas para os sistemas que o appliance gerencia.
4. Persistência e tunelamento. Um tunelador SOCKS5 personalizado chamado BARECLAW é implantado, a configuração do HAProxy é editada para torná-lo acessível pela internet e a persistência sobrevive a reinicializações.
5. Encobrimento. Os logs são apagados.

O que fazer agora? Siga esta ordem:

1. Identifique todas as instâncias. Faça o inventário de todas as implantações do BeyondTrust Remote Support, auto-hospedadas e SaaS, inclusive as criadas por uma área de negócio ou por um fornecedor.
2. Corrija. As versões auto-hospedadas da 24.3.1 à 26.2.3 devem aplicar o patch BT26-05-RS. As anteriores à 24.3.1 precisam migrar para uma versão mais recente para ficarem corrigidas. Os clientes SaaS foram corrigidos até 9 de outubro.
3. Presuma violação se esteve exposto. Se um appliance vulnerável esteve acessível pela internet desde o fim de agosto, investigue antes de voltar a confiar nele: procure arquivos PHP inesperados, um novo binário SUID chamado dbus-authd, alterações na configuração do HAProxy, logs ausentes ou truncados e conexões de saída incomuns.
4. Troque os segredos. Redefina todas as credenciais, chaves de API e contas de serviço armazenadas no appliance ou alcançáveis a partir dele.
5. Revise o histórico de sessões. Audite as sessões remotas iniciadas a partir do appliance para hosts downstream e verifique quais dados saíram.
6. Reduza a exposição. Restrinja o acesso ao appliance por IP ou coloque-o atrás de um gateway de zero trust, e envie os logs para fora do equipamento para que um invasor não consiga apagá-los.

Se isso parece demais para uma equipe pequena, um SOC gerenciado com SIEM e MDR pode conduzir a investigação e manter cópias imutáveis dos logs por você.

O que as empresas ganham ao tratar ferramentas de acesso remoto como joias da coroa? Mais do que um relatório de incidente limpo.

• Menor raio de impacto. Se o appliance está em uma zona de gerenciamento segmentada e com credenciais de escopo restrito, um comprometimento não se torna automaticamente o comprometimento de toda a rede.
• Detecção mais rápida. Logs enviados em tempo real a um SIEM sobrevivem à limpeza do invasor. O apagamento de logs visto nesta campanha importa muito menos quando já existe uma cópia em outro lugar.
• Janelas de exposição menores. Um processo definido de correção emergencial para sistemas expostos à internet, com responsáveis claros, transforma um ponto cego de seis semanas em questão de dias assim que a correção existe.
• Menos atrito com auditores e seguradoras. Inventários documentados, revisões de acesso e monitoramento de ferramentas privilegiadas são exatamente o que auditores e seguradoras de risco cibernético pedem.
• Menos carga operacional. Terceirizar correções de rotina, inventário de ativos e backup para serviços gerenciados de TI libera a equipe interna para projetos em vez de fins de semana de emergência.

O desenho da rede também pesa. Uma conectividade resiliente e bem segmentada, como a SD-WAN multioperadora e o acesso à internet gerenciado, facilita confinar o tráfego de gerenciamento, aplicar política consistente em todas as unidades e continuar operando enquanto um sistema suspeito é isolado.

A HIT Communications atende empresas há mais de 30 anos na América Latina, nos Estados Unidos e na Europa. Ajudamos nossos clientes a proteger os sistemas que os invasores mais preferem: appliances expostos à internet, ferramentas de acesso remoto e as identidades por trás deles.

Nossos serviços gerenciados de SOC, SIEM e MDR monitoram seu ambiente 24 horas por dia, coletam e preservam logs fora do equipamento, correlacionam inteligência de ameaças com seu inventário de ativos e conduzem threat hunting quando chega um aviso como o BT26-05. Nossos serviços gerenciados de TI cuidam da orquestração de patches, da descoberta de ativos, da infraestrutura em nuvem e do backup, para que uma correção emergencial seja uma tarefa de rotina e não uma correria. E nossas soluções de conectividade multioperadora e SD-WAN oferecem a segmentação e os caminhos resilientes que mantêm o tráfego de gerenciamento contido.

Se você não tem certeza de quais ferramentas de acesso remoto possui, quem consegue alcançá-las ou se elas estiveram expostas neste outono, podemos começar com uma revisão rápida de exposição e um plano de ação priorizado.

O zero-day do BeyondTrust é um lembrete de que as ferramentas criadas para ajudar administradores são também as que os invasores mais querem controlar. Uma falha crítica, seis semanas de exploração silenciosa e um conjunto de ferramentas feito para roubar segredos e apagar evidências deixam uma mensagem clara: trate o acesso remoto privilegiado como infraestrutura de nível zero.

Aplique o patch BT26-05-RS se você executa uma versão auto-hospedada afetada, procure os indicadores descritos, troque tudo o que o appliance podia alcançar e tire os logs do equipamento. Depois implemente os controles de longo prazo: inventário preciso, acesso restrito, segmentação e monitoramento contínuo.

Se quiser uma visão especializada da sua exposição, fale com a equipe da HIT Communications e ajudaremos você a transformar este aviso em um plano concreto.