疑似中國國家級駭客利用BeyondTrust零日漏洞發動間諜攻擊,CISA緊急示警

背景與影響

BeyondTrust與資安業者Mandiant、Google威脅情報團隊共同證實,一項影響BeyondTrust Remote Support遠端支援設備的身分驗證繞過零日漏洞CVE-2026-102764正遭到名為Armory Castle(又稱UNC5221)的駭客組織積極利用,官方已釋出修補程式BT26-05-RS。

攻擊者展現出對BeyondTrust設備內部架構的深入了解,成功繞過身分驗證後提升權限、在受害網路中橫向移動,並竊取設備內儲存的所有憑證,甚至修改能在重開機或重設後仍存續的檔案,建立長期持久據點。

該組織過往鎖定法律服務、SaaS供應商、企業流程外包商、科技公司與政府機構,其目標被認為著重於長期情報蒐集,並曾被懷疑專門鎖定科技公司以協助發掘更多零日漏洞；凡是可從網際網路連線存取的受影響設備都應視為可能已遭入侵。

Google威脅情報團隊警告,該組織過去曾在漏洞公開揭露後發動大規模機會性攻擊,此次零日漏洞公開後,預期將出現類似的廣泛利用潮,企業應搶在攻擊擴大前完成修補與鑑識。

解決方案

• 立即套用BeyondTrust官方釋出的BT26-05-RS修補程式,舊版本需先升級至24.3.1以上才能套用。
• 限制Remote Support設備的對外網路存取,僅開放必要服務並將管理介面限制於信任網路。
• 對自架設備進行網路與記憶體鑑識,排查是否已遭入侵的跡象。
• 若懷疑已遭入侵,應立即隔離設備、保存鑑識映像並將日誌轉發至SIEM系統保存。
• 從已知良好狀態重建系統後套用修補程式,並輪換設備儲存或注入過的所有憑證。
• 撤銷所有現存的遠端支援連線工作階段,並檢查是否有未經授權的帳號、權限或工作階段原則變更。
• 持續關注CISA與廠商後續公告,因預期此漏洞將遭到更大規模的機會性攻擊利用。