Armory Castle, BeyondTrust Uzak Destek Sistemlerini Sıfır-Gün Açığıyla Ele Geçirdi

Çin devletiyle ilişkilendirilen ve daha önce UNC5221 ile Warp Panda isimleriyle takip edilen siber casusluk grubu Armory Castle, BeyondTrust Remote Support (eski adıyla Bomgar) ürününde bulunan yeni bir güvenlik açığını sıfır-gün olarak 2026 yılının Ağustos ayı sonunda istismar etti. CVSS puanı 9,3 olan ve CVE-2026-102764 koduyla izlenen bu açık, ürünün dahili mesajlaşma bileşenindeki hatalı kaynak doğrulama mekanizmasından kaynaklanıyor. Uzak bir saldırganın söz konusu bileşen üzerinden etkilenen cihazda dosya işlemleri gerçekleştirmesine olanak tanıyan bu açık, şirketin kendi barındırdığı bir Remote Support cihazında 29 Ağustos 2026 tarihinde aktif biçimde kullanıldı.

BeyondTrust'ın Açıklaması ve Yama Süreci​

BeyondTrust, yayımladığı güvenlik uyarısında açığın Remote Support'un dahili bileşenlerinde bulunduğunu ve bu bileşenlerin aldıkları mesajların kaynağını yeterince doğrulamadığını belirtti. Şirket, "Doğru koşullar altında bu durum, cihaz üzerinde dosya işlemleri gerçekleştirmek için kullanılabilir" ifadesini kullandı. Tüm Remote Support SaaS müşterilerine yönelik yamalar 9 Ekim 2026 itibarıyla dağıtıldı. Kendi sistemlerini barındıran ve 24.3.1 ile 26.2.3 sürümleri arasında Remote Support çalıştıran müşterilerin BT26-05-RS yamasını manuel olarak uygulaması gerekiyor. 24.3.1'den eski bir sürüm kullananların ise yamayı uygulayabilmek için önce daha yeni bir sürüme geçmesi zorunlu.
BeyondTrust'ın paylaştığı olay zaman çizelgesine göre grup, açığı ilk kez 29 Ağustos 2026'da tek bir kendi barındırılan Remote Support cihazında kullandı. 27 Eylül 2026'da ise başka bir güvenlik ürünü sağlayıcısına yönelik başarılı bir saldırının kamuoyuyla paylaşılması üzerine BeyondTrust, kendi sistemlerinde benzer bir faaliyet olup olmadığını araştırmaya başladı.

Armory Castle'ın Saldırı Yöntemi ve Kullandığı Araçlar​

Google'a bağlı Mandiant'ın paylaştığı teknik ayrıntılara göre başarılı bir ele geçirme işleminin ardından Armory Castle, SAWFLY adlı hafif bir PHP web kabuğu kullanarak etkileşimli uzaktan erişim ve iki yönlü şifreli komuta-kontrol (C2) iletişimi sağladı. Grup, ticari VPN çıkış noktaları ile ele geçirilmiş ev ve küçük ofis yönlendiricilerini kullanarak normal ağ trafiğine karışmaya çalıştı.
Saldırganların saldırı sonrası aşamada gerçekleştirdiği eylemler şu şekilde sıralandı: Sistem kabuğu yürütülebilir dosyasını (/bin/sh) kopyalayarak ve SUID izinlerini etkinleştirerek cihaz üzerinde kök düzeyinde kontrol ele geçirme; cihazın dahili gizli bilgi yönetim veritabanından kimlik bilgilerini toplamak için özel /ns/sbin/bt-secrets CLI aracını kullanma; BeyondTrust yapılandırma şablonlarını hedef alarak site hizmet hesabına şifresiz kök erişimi elde etme; ele geçirilmiş yönetici kimlik bilgileriyle uzak destek uygulamasına girerek cihazın Jump Item listesindeki aşağı akış sistemlere uzak oturumlar başlatma; hassas iç belgeleri indirip sızdırmak amacıyla hedef sistemlerin dosya sistemi üzerinde tam erişim sağlama; BARECLAW adlı C tabanlı özel bir SOCKS5 proxy tünelleyicisiyle trafiği BeyondTrust cihazı üzerinden yönlendirme; /ns/config/haproxy.conf dosyasını düzenleyerek BARECLAW'ı doğrudan internet üzerinden erişilebilir kılma ve sistem, web sunucusu ile uygulama düzeyindeki günlükleri sistematik olarak silerek iz bırakmama.

Grubun Geçmiş Faaliyetleri ve BeyondTrust'ın Değerlendirmesi​

Armory Castle'ın Ekim 2023'ten bu yana aktif olduğu biliniyor. Grup, daha önce Citrix NetScaler (CVE-2023-4966) ve Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 ve CVE-2025-0282) cihazlarındaki sıfır-gün açıklarını istismar ederek hukuk hizmetleri, SaaS sağlayıcıları, iş süreci dış kaynak şirketleri, teknoloji firmaları ve devlet kurumları dahil geniş bir sektör yelpazesini hedef almıştı.
BeyondTrust, grubun taktiklerine ilişkin dikkat çekici bir değerlendirme yaptı: "Tehdit aktörü sıfır-günü seçili hedeflere karşı seçici biçimde kullanıyor; açık kamuoyuyla paylaşıldıktan sonra ise yamalanmamış tüm örneklere yönelik geniş çaplı istismara geçiyor. Çalışma değerlendirmemize göre bu aktör, yüksek değerli yazılım hedeflerini önceden seçiyor ve hedeflediği ürünlerin çalışan bir modelini, istismar zincirleri geliştirmek amacıyla sürekli olarak kullandığı bir yapay zeka bağlamında tutuyor."
Google Tehdit İstihbarat Grubu (GTIG) ve Mandiant araştırmacıları Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch ve John Wolfram, saldırganların BeyondTrust cihazının iç yapısına derin bir hakimiyetle hareket ettiğini vurguladı. Araştırmacılar, özel CLI araçlarının, başlangıç yapılandırma şablonlarının ve yerel ters proxy yönlendirmesinin kötüye kullanılmasını bu derin bilginin kanıtı olarak gösterdi. Araştırmacılar ayrıca şu uyarıyı yaptı: "İstismar penceresi boyunca savunmasız bir sürüm üzerinde internetten erişilebilir durumda olan herhangi bir cihaz, incelenmeden önce potansiyel olarak ele geçirilmiş kabul edilmelidir."

Sıkça Sorulan Sorular​

CVE-2026-102764 güvenlik açığı nedir ve hangi ürünü etkiliyor?​

CVE-2026-102764, BeyondTrust Remote Support ürününün dahili mesajlaşma bileşenindeki hatalı kaynak doğrulama mekanizmasından kaynaklanan bir güvenlik açığıdır. CVSS puanı 9,3 olan bu kritik açık, uzaktaki bir saldırganın etkilenen cihaz üzerinde dosya işlemleri gerçekleştirmesine olanak tanıyor.

Armory Castle bu açığı ilk olarak ne zaman ve nasıl kullandı?​

BeyondTrust'ın paylaştığı zaman çizelgesine göre Armory Castle, açığı sıfır-gün olarak 29 Ağustos 2026 tarihinde kendi barındırılan tek bir Remote Support cihazında istismar etti. Grup, ticari VPN çıkış noktaları ve ele geçirilmiş küçük ofis yönlendiricileri aracılığıyla normal trafiğe karışarak hareket etti.

SAWFLY ve BARECLAW nedir, saldırıda nasıl kullanıldı?​

SAWFLY, Armory Castle'ın ele geçirilen sistemlere yerleştirdiği hafif bir PHP web kabuğudur; iki yönlü şifreli komuta-kontrol iletişimi sağlar. BARECLAW ise C programlama diliyle yazılmış özel bir SOCKS5 proxy tünelleyicisidir ve TCP bağlantılarını uzak bir istemci ile hedef sistemler arasında aktararak trafiği BeyondTrust cihazı üzerinden yönlendirmek amacıyla kullanıldı.

BeyondTrust Remote Support kullanıcıları bu açığa karşı nasıl korunabilir?​

SaaS müşterilerine yönelik yamalar 9 Ekim 2026 itibarıyla otomatik olarak dağıtıldı. Kendi sistemlerini barındıran ve 24.3.1 ile 26.2.3 arasındaki sürümleri kullanan müşterilerin BT26-05-RS yamasını manuel olarak uygulaması gerekiyor. 24.3.1'den eski sürümlerde ise önce daha yeni bir sürüme yükseltme yapılması zorunlu. Ayrıca istismar penceresi boyunca internetten erişilebilir durumda olan tüm cihazların ele geçirilmiş olabileceği varsayımıyla incelenmesi öneriliyor.

Armory Castle daha önce hangi güvenlik açıklarını istismar etti?​

Ekim 2023'ten bu yana aktif olan Armory Castle, geçmişte Citrix NetScaler'daki CVE-2023-4966 açığını ve Ivanti Connect Secure'daki CVE-2023-46805, CVE-2024-21887 ile CVE-2025-0282 açıklarını istismar etti. Grup bu saldırılarla hukuk hizmetleri, SaaS sağlayıcıları, iş süreci dış kaynak şirketleri, teknoloji firmaları ve devlet kurumlarını hedef aldı.