BeyondTrust-ის სისტემებში აღმოჩენილია კრიტიკული Zero-Day ხარვეზი
კომპანია BeyondTrust-მა თავისი კორპორატიული სერვისის, Remote Support-ის (RS) მომხმარებლებისთვის გადაუდებელი გაფრთხილება გაავრცელა. საუბარია კრიტიკულ დაუცველობაზე, რომელიც ჰაკერებს აგვისტოს ბოლოდან მოყოლებული, სისტემებში შეღწევის საშუალებას აძლევდა. ეს ხარვეზი, რომელიც სპეციალისტების მიერ CVE-2026-102764-ის სახელითაა რეგისტრირებული, ავთენტიფიკაციის ავლის გარეშე მოქმედებს და თავდამსხმელებს საშუალებას აძლევს, ფაილებზე მანიპულაციები განახორციელონ.
საფრთხე სისტემებისთვის
დაუცველობა ეხება Remote Support-ის 26.2.3 და უფრო ძველ ვერსიებს. BeyondTrust-მა SaaS (ღრუბლოვანი სერვისი) მომხმარებლებისთვის განახლება უკვე 8 ოქტომბერს დანერგა, თუმცა მათ, ვინც საკუთარ სერვერებზე მასპინძლობს სისტემას, განახლებების ხელით ინსტალაცია მოუწევთ. ექსპერტების შეფასებით, ნებისმიერი სერვერი, რომელიც ინტერნეტთან იყო დაკავშირებული და არ ჰქონდა დაინსტალირებული უსაფრთხოების პატჩი, პოტენციურად კომპრომეტირებულად უნდა ჩაითვალოს.
კიბერუსაფრთხოების კვლევითი ჯგუფების, მათ შორის Mandiant-ისა და Google Threat Intelligence Group-ის მონაცემებით, ამ თავდასხმების უკან დგას ჰაკერული დაჯგუფება „Armory Castle“ (ადრე ცნობილი როგორც UNC5221). ეს ჯგუფი ცნობილია სახელმწიფო მხარდაჭერით და სპეციალიზდება სწორედ ქსელური აღჭურვილობისა და კორპორატიული სერვისების Zero-Day ხარვეზების გამოყენებით შეღწევაში.
როგორ მოქმედებდნენ ჰაკერები?
Mandiant-ის ანალიტიკოსების თქმით, ჰაკერები სისტემაში შეღწევის შემდეგ იღებდნენ „root“ დონის წვდომას, რაც მათ საშუალებას აძლევდა, სრულად გაეკონტროლებინათ სერვერი. თავდამსხმელები იყენებდნენ სპეციალურ მავნე პროგრამებს, როგორიცაა Sawfly და Bareclaw, რათა დაეფარათ საკუთარი კვალი და წაეშალათ ჟურნალ-ფაილები (log files). ამის შემდეგ, მოპარული ადმინისტრატორის მონაცემების გამოყენებით, ისინი ქსელში ჰორიზონტალურად ვრცელდებოდნენ და იღებდნენ წვდომას სხვა სისტემებზეც.
„Armory Castle“-ს აქტივობა უკვე დიდი ხანია აშფოთებს უსაფრთხოების სფეროს. მათ ადრეც არაერთხელ გამოიყენეს მსგავსი ტაქტიკა სხვა ცნობილი კომპანიების, მათ შორის Ivanti-სა და Citrix-ის პროდუქტების წინააღმდეგ. BeyondTrust, რომელიც უსაფრთხოების სერვისებს 20 000-ზე მეტ კლიენტს, მათ შორის Fortune 100-ის კომპანიების 75%-ს აწვდის, კვლავ რჩება კიბერდამნაშავეების ერთ-ერთ მთავარ სამიზნედ.
რას ნიშნავს ეს ქართული კომპანიებისთვის?
მიუხედავად იმისა, რომ თავდასხმები ხშირად გლობალური მასშტაბისაა, მსგავსი ინციდენტები მნიშვნელოვან გაკვეთილს გვთავაზობს ადგილობრივი ბიზნესისთვისაც. კორპორატიული ქსელების დაცვა მხოლოდ პერიმეტრის დაცვით არ შემოიფარგლება; აუცილებელია პროგრამული უზრუნველყოფის მუდმივი განახლება და სისტემების აქტიური მონიტორინგი. თუ თქვენი ორგანიზაცია იყენებს BeyondTrust-ის ან მსგავსი ტიპის დისტანციური მხარდაჭერის გადაწყვეტილებებს, რეკომენდებულია, დაუყოვნებლივ გადაამოწმოთ ვერსიების შესაბამისობა უსაფრთხოების ახალ სტანდარტებთან და დარწმუნდეთ, რომ ყველა საჭირო პატჩი დაინსტალირებულია.