新聞

Google威脅情報團隊（GTIG）與Mandiant於10月16日揭露，疑似與中國有關的網路間諜組織ARMORY CASTLE利用BeyondTrust Remote Support零時差漏洞CVE-2026-102764入侵企業遠端支援設備，並進一步存取企業內部系統。

BeyondTrust Remote Support是供企業IT人員遠端連線及維護設備的產品。BeyondTrust安全公告指出，這項重大漏洞的CVSS 4.0評分為9.3分，影響Remote Support 26.2.3及更早版本。由於內部元件未充分驗證收到的訊息來源，遠端攻擊者可能利用漏洞操作設備上的檔案，並進一步入侵設備。

Mandiant在事件調查中發現，ARMORY CASTLE於今年8月底已利用這項零時差漏洞發動攻擊。攻擊者入侵設備後，植入SAWFLY網頁後門（Web Shell）、取得root權限，並修改設備設定，讓攻擊者在設備重新啟動後仍能取得root權限。攻擊者也利用遭入侵的管理員帳號提高遠端存取權限，藉此透過Remote Support連線企業內部設備，下載軟體清冊等內部文件。

BeyondTrust已於10月9日為所有Remote Support SaaS客戶完成漏洞修補。自行託管客戶若未啟用自動更新，須手動安裝修補程式；使用24.3.1之前版本的客戶，則須先升級至支援修補的版本，再安裝修補程式。

除了修補漏洞，BeyondTrust也建議企業檢查設備是否曾遭入侵，包括管理員權限變更、遠端連線及檔案傳輸紀錄。Mandiant則提醒，企業應查看集中保存的日誌，追查攻擊者是否已存取內部系統；若確認設備遭入侵，應重建受害設備，並更換可能受到影響的身分驗證憑證。