BeyondTrust Remote Support Zero-Day Açığı CVE-2026-102764: ARMORY CASTLE Saldırıları, Yama ve İz Arama Rehberi

Açığın özeti (Vulnerability summary)

Remote Support, BT ekiplerinin ve hizmet sağlayıcıların kullanıcı bilgisayarlarına uzaktan bağlanmak için kullandığı bir araç. Cihaz bağlanılan sistemlerin parolalarını da kasasında tuttuğu için ele geçirilmesi tek bir sunucuyla sınırlı kalmıyor. Saldırgan cihazın erişebildiği bütün makinelere ulaşabiliyor. CISA uyarısında saldırganların açığı ilk erişim için kullandığını, ardından kalıcılık sağlayıp yetki yükselttiğini ve ağ içinde yayıldığını belirtiyor.

Zaman çizelgesi (Timeline)

• Ağustos 2026 sonu: Mandiant, açığın zero-day olarak kullanıldığını ilk kez gözlemliyor.
• 9 Ekim: BeyondTrust bütün SaaS müşterilerinin cihazlarını yamıyor.
• 15 Ekim: Açık ve BT26-05 duyurusu kamuya açıklanıyor.
• 16 Ekim: CISA uyarı yayımlıyor, açığı KEV kataloğuna ekliyor. Google aynı gün saldırı zincirini ayrıntılı bir raporla paylaşıyor.

Yani açık kamuya duyurulmadan önce en az altı hafta kullanıldı. Bu sürede internete açık bir cihaz yamasız durduysa, yalnız yamayı kurmak yeterli değil.

Saldırı zinciri adım adım (Attack chain)

Google'ın raporu, saldırganın cihazda neler yaptığını sırasıyla anlatıyor. Bu adımlar, kendi cihazınızda neye bakmanız gerektiğini de gösteriyor:

1. İlk erişim: Açık kullanılarak /app_84304470%2Ephp yoluna POST istekleriyle dosya yükleniyor.
2. Web kabuğu: Yaklaşık 11 dakika sonra web kök dizinine SAWFLY adlı PHP web kabuğu (mangoapi.php) bırakılıyor. Kabuk, _c94mfe parametresi yoksa 404 döndürerek gizleniyor.
3. Yetki yükseltme: /bin/sh kopyalanıp /usr/bin/dbus-authd adıyla root sahipliğinde ve SUID bitiyle bırakılıyor.
4. Parola kasası: Cihazın kendi aracı /ns/sbin/bt-secrets get vault ile kasadaki kimlik bilgileri dökülüyor, ardından bt-secrets.log siliniyor.
5. Kalıcılık: /home/bomgar/sbin/post_boot.d altına zz-root-persist betiği konuyor. Betik sudoers şablonuna parolasız sudo satırı ekliyor ve bt-sysconfig ile /etc/sudoers dosyasını yeniden üretiyor. Değişiklik yeniden başlatmaya ve yapılandırma sıfırlamaya dayanıyor.
6. İz silme: Kimlik doğrulama, SSL, HTTP, PHP ve syslog kayıtları ile SSH izleri siliniyor.
7. Yayılma: Ele geçirilen yönetici hesabıyla /login paneline girilip Jump Item ve Team yetkileri "No Access"ten "Administrator"a çıkarılıyor. Uzak destek oturumları açılıp dosya aktarımıyla belgeler (ör. yazılım envanterleri) dışarı alınıyor.
8. Tünel: BARECLAW adlı WebSocket üzerinden SOCKS5 tüneli (ingredi_ws, yerelde 19800 portu) kuruluyor ve haproxy.conf değiştirilerek /uidchanarge yolu internete açılıyor.

İz arama ve tespit (Hunting and detection)

Raporda paylaşılan dosya özetleri (SHA-256):

# SAWFLY web kabuğu (mangoapi.php)
dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb

# BARECLAW tüneli (ingredi_ws)
1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462

Kayıtlarda bakılacak noktalar:

• Jump Item veya Team rolünü Administrator'a çıkaran user_changed olayları.
• Planlanmamış user_added, api_account veya security_provider olayları.
• Ev internet bağlantısı ya da VPN adreslerinden, mesai dışında yapılan başarılı /login girişleri.
• Rolü yeni değişmiş hesapların başlattığı oturumlar ve dosya aktarımları.
• Bilinmeyen .php yollarına gelen istekler ve beklenmedik kaynaklardan WebSocket yükseltmeleri.
• Syslog iletiminde boşluklar. Kayıt akışının bir süre kesilmiş olması, silinmiş olabileceğine işaret eder.

Cihaz kayıtları silinmiş olabileceği için cihazın kendi kayıtlarına değil, WAF, ters vekil sunucu (reverse proxy), güvenlik duvarı ve SIEM'e iletilmiş kopyalara bakmak daha güvenilir sonuç verir.

Yama ve kurtarma adımları (Patch and recovery)

1. Yamayı kurun: BT26-05-RS. 24.3.1'den eski cihazlar önce yükseltilmeli.
2. Erişimi daraltın: /login ve /appliance yönetim arayüzlerini yalnız güvenilir ağlardan erişilebilir yapın.
3. Ele geçirilme şüphesi varsa önce delil alın: Sanal cihazın anlık görüntüsünü, fiziksel cihazın imajını alın. Çevre kayıtlarını toplayın.
4. Temizlemeye çalışmayın, yeniden kurun: Google, ele geçirilmiş cihazın yerinde temizlenmesi yerine temiz imajdan yeniden kurulmasını öneriyor. Yükseltme açığı kapatır ama içerideki arka kapıyı silmez.
5. Parolaları sonra değiştirin: Cihazın sakladığı ya da oturumlara aktardığı bütün kimlik bilgilerini, yama veya yeniden kurulumdan sonra değiştirin. Açık oturumları sonlandırın, ayrıcalıklı hesaplardaki yeni MFA kayıtlarını gözden geçirin.
6. Varsayılanları sıkılaştırın: Phishing'e dayanıklı MFA ile SAML SSO kullanın, varsayılan Jump Item rolünü "No Access" yapın.

Uzak erişim araçları, VPN'ler ve e-posta ağ geçitleri gibi internete açık cihazlar son iki ayın zero-day listesinin büyük kısmını oluşturuyor. Ivanti Connect Secure ve NetScaler açıklarında da aynı tablo vardı. Alesta WEB olarak yönettiğimiz sunucularda yönetim panellerini yalnız belirli IP adreslerine açık tutuyoruz. Bu, yama gecikse bile saldırı yüzeyini ciddi biçimde daraltıyor.

Sık sorulan sorular

BeyondTrust'ın bulut (SaaS) sürümünü kullanıyorum, bir şey yapmam gerekiyor mu?

BeyondTrust SaaS cihazlarını 9 Ekim'de yamadı. Yine de Ağustos sonu ile 9 Ekim arasındaki oturum ve yetki değişikliği kayıtlarını gözden geçirmek mantıklı.

Privileged Remote Access (PRA) da etkileniyor mu?

CISA uyarısı ve Google raporu yalnız Remote Support'u anıyor. PRA kullanıyorsanız BT26-05 duyurusundaki ürün listesini kontrol edin.

Yamayı kurdum, cihazım güvende mi?

Açık kapanır, ama cihaz daha önce ele geçirildiyse SUID kabuk, sudoers kaydı ve web kabuğu yerinde kalabilir. Açık kaldığı süre boyunca internete açık olan her cihazı ele geçirilmiş varsayıp yukarıdaki iz arama adımlarını uygulayın.

ARMORY CASTLE kimdir?

Google'ın daha önce UNC5221 adıyla izlediği, Çin bağlantılı olduğu değerlendirilen bir casusluk grubu. En az Ekim 2023'ten beri internete açık cihazlardaki zero-day açıkları kullanıyor.

İlgili yazılar: Ivanti Connect Secure zero-day · FortiMail zero-day · CISA KEV: ProFTPD, BIND, Struts · Web yazılım hizmetleri · İletişim

Kapak fotoğrafı: John / Unsplash