APT Trung Quốc khai thác lỗ hổng BeyondTrust dưới dạng zero-day

Một nhóm APT (mối đe dọa dai dẳng nâng cao) có liên hệ với Trung Quốc đã khai thác lỗ hổng zero-day của BeyondTrust từ tháng 8 để phục vụ hoạt động gián điệp. Lỗ hổng mang mã CVE-2026-102764 với điểm CVSS 9.3, cho phép kẻ tấn công thực hiện thao tác tập tin trên thiết bị Remote Support (RS). Nhóm này đã triển khai webshell, leo thang đặc quyền và xóa nhật ký hệ thống để xóa dấu vết sau khi xâm nhập.

Minh họa an ninh mạng và khai thác lỗ hổng zero-day

Lỗ hổng bị khai thác từ tháng 8

Theo BeyondTrust, lỗi bảo mật nằm ở việc xác thực không đúng nguồn gốc thông điệp, cho phép kẻ tấn công thực hiện các thao tác tập tin trên thiết bị RS. Tất cả các phiên bản RS từ 26.2.3 trở về trước đều bị ảnh hưởng. Bản vá BT26-05-RS đã khắc phục lỗi cho các phiên bản từ 24.3.1 đến 26.2.3. Khách hàng đang dùng phiên bản cũ hơn 24.3.1 cần nâng cấp lên bản mới rồi mới áp dụng bản vá.

BeyondTrust phát hiện khiếm khuyết bảo mật vào ngày 28 tháng 9, chỉ một ngày sau khi việc khai thác nhắm vào một nhà cung cấp thiết bị bảo mật bị công khai. Tuy nhiên, hoạt động khai thác thực tế đã diễn ra từ ngày 29 tháng 8, nhắm vào một thiết bị RS do BeyondTrust vận hành và một thiết bị RS tự vận hành.

Công ty cho biết đã tạo bản vá từ ngày 30 tháng 9, nhưng mất thêm thời gian kiểm thử và xử lý các đường khai thác bổ sung trước khi phát hành chính thức vào ngày 8 tháng 10. Tính đến ngày 9 tháng 10 năm 2026, bản vá đã được áp dụng cho tất cả khách hàng Remote Support SaaS. Khách hàng tự vận hành cần chủ động cài đặt bản vá thủ công nếu hệ thống không bật cập nhật tự động.

Armory Castle: nhóm gián điệp đứng sau chiến dịch

Theo Mandiant và Google Threat Intelligence Group (GTIG), CVE-2026-102764 đã bị khai thác dưới dạng zero-day bởi Armory Castle, một nhóm có liên hệ với Trung Quốc còn được biết đến với tên UNC5221 và Warp Panda.

Armory Castle là nhóm gián điệp được nhà nước bảo trợ, tập trung vào thu thập tình báo dài hạn. Nhóm này thường nhắm vào các nhà cung cấp SaaS, công ty công nghệ, cơ quan chính phủ, dịch vụ pháp lý và các đơn vị thuê ngoài quy trình nghiệp vụ.

Mandiant và GTIG quan sát thấy nhóm APT này nhắm vào một thiết bị BeyondTrust để có quyền truy cập ban đầu, sau đó triển khai webshell Sawfly và công cụ tạo đường hầm Bareclaw để tương tác với thiết bị, leo thang đặc quyền và di chuyển ngang trong môi trường bị xâm nhập.

"Sawfly là webshell PHP nhẹ, hỗ trợ liên lạc chỉ huy và kiểm soát (C&C) mã hóa hai chiều, và là điểm bám trụ chính của nhóm tấn công trong môi trường nạn nhân."

Chuỗi tấn công chi tiết

Sau khi triển khai webshell, Armory Castle giành quyền kiểm soát cấp root trên máy chủ thiết bị, thu thập thông tin xác thực, có được quyền root không cần mật khẩu đối với tài khoản dịch vụ site và xóa có hệ thống nhật ký hệ thống, máy chủ web lẫn nhật ký cấp ứng dụng.

Tiếp theo, kẻ tấn công chuyển hướng sang ứng dụng RS bằng thông tin xác thực quản trị viên bị đánh cắp, sửa quyền của tài khoản để kiểm soát các hệ thống từ xa và bắt đầu nhắm vào các điểm cuối nội bộ.

Mandiant và GTIG cho biết nhóm tấn công đã lợi dụng các công cụ hỗ trợ tích hợp của thiết bị để yêu cầu và giành toàn quyền truy cập hệ thống tập tin. Chúng dùng dịch vụ truyền tập tin gốc của BeyondTrust Remote Support để tải xuống và đánh cắp các tài liệu nội bộ nhạy cảm phục vụ trinh sát mạng, chẳng hạn như danh mục phần mềm, trực tiếp từ môi trường máy tính của người dùng.

Ngoài ra, kẻ tấn công còn dùng proxy SOCKS5 tùy chỉnh Bareclaw, hỗ trợ mã hóa dữ liệu, chuyển tiếp lưu lượng qua proxy thượng nguồn và xác thực.

Minh họa các cuộc tấn công mạng có chủ đích

Không phải lần đầu nhắm vào thiết bị biên

GTIG từng báo cáo Armory Castle khai thác nhiều lỗ hổng trên thiết bị biên và triển khai bộ công cụ tùy chỉnh phong phú để phục vụ mục tiêu, từ backdoor thụ động, webshell cho đến các thành phần bị cài mã độc của thiết bị biên. Nhóm này hoạt động từ ít nhất tháng 10 năm 2023 và đã nhắm vào nhiều quốc gia lẫn lĩnh vực khác nhau.

Trước đây, nhóm từng bị phát hiện khai thác zero-day trên Citrix NetScaler (CVE-2023-4966, còn gọi là CitrixBleed), Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 và CVE-2025-0282) cùng Dell RecoverPoint for Virtual Machines (CVE-2026-22769).

Hàm ý cho tổ chức tại Việt Nam

Sự việc cho thấy các thiết bị biên như BeyondTrust Remote Support vẫn là mục tiêu ưu tiên của các nhóm APT quốc gia, bởi chúng thường có quyền truy cập sâu vào hạ tầng nội bộ và ít bị giám sát chặt chẽ.

• Doanh nghiệp sử dụng BeyondTrust RS cần kiểm tra phiên bản, rà soát các dấu hiệu webshell Sawfly và proxy Bareclaw trong nhật ký.
• Nếu phát hiện dấu hiệu bất thường, cần giả định thông tin xác thực đã bị đánh cắp và tiến hành xoay vòng ngay lập tức.
• Việc ghi nhật ký tập trung và giám sát liên tục là điều kiện quan trọng để phát hiện kịp thời, đặc biệt khi kẻ tấn công có xu hướng xóa nhật ký tại chỗ để che dấu.

Với các tổ chức tại Việt Nam đang dùng thiết bị bảo mật biên cho kết nối từ xa, khuyến nghị là áp dụng bản vá ngay khi có, tách biệt vùng quản trị thiết bị và không cho phép truy cập internet trực tiếp nếu không thật sự cần thiết.