Grupo de espionaje chino prolífico explota una vulnerabilidad zero-day de BeyondTrust

⟫ 16/10/2026 ⟫ Matt Kapko

Fuente: CyberScoop

**Auge sobre la Ciberseguridad: El Grupo Armory Castle y la Explotación de una Vulnerabilidad Crítica en BeyondTrust**

En el contexto actual de la ciberseguridad, donde las amenazas avanzan a pasos agigantados, la reciente actividad de un grupo de hackers supuestamente respaldado por el gobierno chino ha puesto en alerta a diversas organizaciones. Este grupo, conocido como Armory Castle —anteriormente identificado como UNC5221 por investigadores de Mandiant— ha sido vinculado a un ataque que explota una vulnerabilidad crítica en los productos de BeyondTrust, un proveedor de soluciones de seguridad. Este ataque, que se remonta a finales de agosto, subraya la persistente amenaza que representan estos actores de amenazas y la necesidad de que las organizaciones refuercen sus defensas.

Mandiant ha señalado que Armory Castle ha aprovechado una vulnerabilidad crítica identificada como CVE-2026-102764, que permite a los atacantes escalar privilegios dentro de la red comprometida, moverse lateralmente y evadir mecanismos de detección. La explotación de esta vulnerabilidad no es un incidente aislado; de hecho, se ha documentado que este grupo ha estado detrás de múltiples explotaciones de defectos en productos de Ivanti desde 2023, incluyendo el conocido zero-day de Citrix NetScaler, apodado CitrixBleed, y la campaña Brickstorm del año pasado, que tuvo un tiempo de permanencia promedio de 400 días en las redes de las víctimas.

Kelli Vanderlee, analista senior del Google Threat Intelligence Group (GTIG), expresó en un correo electrónico que, aunque actualmente se tiene conocimiento de un número limitado de organizaciones afectadas, la naturaleza sigilosa de estas actividades y el uso de una vulnerabilidad de día cero podrían significar que más organizaciones fueron comprometidas antes de la divulgación pública. Esta declaración resalta la importancia de la detección temprana y la respuesta rápida ante incidentes de seguridad.

Mandiant ha instado a las organizaciones a "prepararse para la posible explotación generalizada", ya que Armory Castle y otros grupos de amenazas han demostrado un patrón de explotación amplia y oportunista tras la divulgación pública de vulnerabilidades. Este patrón se ha corroborado con el análisis reciente que Mandiant y GTIG publicaron sobre Armory Castle, justo después de que BeyondTrust revelara públicamente la vulnerabilidad en su producto de Soporte Remoto.

BeyondTrust, que ha llevado a cabo su propia investigación y ha colaborado con Mandiant en la indagación de un cliente autoalojado que fue comprometido, afirmó que lanzó un parche para la vulnerabilidad explotada el 8 de octubre, aplicando automáticamente la actualización a las versiones en la nube de su producto ese mismo día. Sin embargo, un portavoz de BeyondTrust se negó a comentar sobre cuántos clientes ya han sido comprometidos o por qué no se divulgó públicamente el zero-day explotado antes, remitiéndose a su aviso de seguridad.

La compañía también informó que la primera instancia conocida de explotación de este zero-day ocurrió el 29 de agosto, siendo detectada y contenida el 28 de septiembre. Este mismo día, BeyondTrust ya había identificado actividad maliciosa en relación con la explotación de zero-days en el producto de otro proveedor de seguridad, que fue confirmada el 27 de septiembre.

Es importante señalar que BeyondTrust no ha aclarado si existe algún vínculo entre los ataques dirigidos a Citrix NetScaler —que permanecieron indetectados durante más de tres semanas— y su producto de acceso remoto. Mientras tanto, los investigadores de GTIG han indicado que no hay suficiente evidencia para evaluar una tendencia general de objetivos, pero han instado a todas las organizaciones potencialmente vulnerables a aplicar el parche y buscar actividad previa a la divulgación de la vulnerabilidad.

Los objetivos previos del grupo de amenazas Armory Castle incluyen empresas de externalización de procesos de negocio, entidades gubernamentales, servicios legales, empresas tecnológicas y proveedores de software como servicio. Dan Perez, líder técnico de GTIG, comentó que "Armory Castle sigue siendo uno de los actores de amenazas más prominentes vinculados a China debido a su persistente enfoque en diversas tecnologías de dispositivos de borde, su uso de vulnerabilidades de día cero para una explotación generalizada en múltiples industrias y regiones, y su arsenal de herramientas en constante expansión y evolución".

Esta situación refuerza un patrón bien establecido para Armory Castle, que tiende a apuntar a dispositivos de borde que, por lo general, no cuentan con soporte para detección y respuesta en endpoints (EDR). Esto permite al actor de amenazas minimizar las oportunidades de detección y mantener un acceso sigiloso y persistente a las redes objetivo.

En conclusión, la explotación de la vulnerabilidad en los productos de BeyondTrust por parte de Armory Castle es una manifestación clara de los peligros que representan los actores de amenazas en la actualidad. La combinación de tácticas sofisticadas y el uso de vulnerabilidades críticas subraya la necesidad de que las organizaciones permanezcan vigilantes y fortalezcan sus medidas de seguridad para mitigar el riesgo de ser víctimas de estos ataques. La ciberseguridad no es solo un desafío técnico, sino una necesidad crítica para la supervivencia y la integridad operativa en un entorno digital cada vez más amenazante.

◢ VULNERABILIDADES ◣

Prolific Chinese espionage group exploits BeyondTrust zero-day

⟫ 16/10/2026 ⟫ Matt Kapko

Source: CyberScoop

Suspected Chinese hackers with a proven knack for exploiting zero-days in security products are at it again, targeting BeyondTrust customers in attacks that researchers have traced back to late August. Mandiant researchers said a likely Chinese government-backed espionage group it previously tracked as UNC5221, and now callsArmory Castle, exploited the critical defect —CVE-2026-102764— then showcased multiple tactics to escalate privileges, hop around the compromised network and evade detection. The same threat group has repeatedly exploited aseries of defects in Ivanti productssince 2023, a Citrix NetScaler zero-day widely known as CitrixBleed, and last year’sBrickstorm campaignthat had an average dwell time of 400 days — all resulting in sweeping attack sprees. “We are aware of only a small number of impacted organizations at this time, but given the stealth of the activity, and the use of a zero-day, it is possible that additional organizations were also compromised prior to the disclosure,” Kelli Vanderlee, senior analyst at Google Threat Intelligence Group, said in an email. Mandiant warned organizations to “prepare for potential widespread exploitation,” adding that Armory Castle and other threat groups previously conducted broad, opportunistic exploitation following public vulnerability disclosures. Mandiant and GTIG released their analysis of Armory Castle and its latest campaign as BeyondTrust publiclydisclosed the vulnerabilityin its Remote Support product Thursday. The company’s security said it released a patch for the exploited defect for self-hosted customers Oct. 8 and automatically applied the update to cloud-based versions of the product that same day. BeyondTrust, which conducted its own investigation and coordinated with Mandiant on an investigation involving a self-hosted customer that was compromised, noted Armory Castle’s prowess. “This threat actor rotates its infrastructure and tooling for every victim, so attribution here rests on behavior. The indicators from one intrusion rarely survive to the next,” the company’s security team wrote in ablog post. “The threat actor has historically demonstrated a high degree of operational security awareness, professional practices, and tradecraft.” A BeyondTrust spokesperson declined to answer questions about how many customers are already compromised or why it didn’t publicly disclose the actively exploited zero-day sooner, and instead referred back to its security advisory. The company said the first known instance of zero-day exploitation occurred Aug. 29, which it detected and contained Sept. 28. BeyondTrust also said it detected the malicious activity after zero-days were confirmed to be exploited in another security vendor’s product Sept. 27. That timing matches around of zero-days Citrix NetScalerdisclosed, following nearly two days of rampant worry and unconfirmed rumors. BeyondTrust did not say if there is any link or overlap between the attacks targeting Citrix NetScaler, which wentundetected for more than three weeks, and its remote access product. GTIG researchers said there isn’t enough evidence to assess an overall targeting trend, but encouraged all potentially vulnerable organizations to apply the patch and hunt for pre-disclosure activity. The threat group’s previous targets include business-process outsourcers, government, legal services, technology companies and software-as-a-service providers. “Armory Castle remains one of the most prominent China-nexus threat actors due to its persistent targeting of various edge device technologies, use of zero-day vulnerabilities for widespread exploitation across multiple industries and regions, and its continuously expanding and evolving arsenal of tools,” said Dan Perez, technical lead at GTIG. “This is a well-established pattern for Armory Castle,” Vanderlee said. “Targeting edge devices, which typically do not support endpoint detection and response (EDR), allows the threat actor to minimize opportunities for detection and maintain stealthy, persistent access to targeted networks.” The postProlific Chinese espionage group exploits BeyondTrust zero-dayappeared first onCyberScoop.

← VOLVER A CIBERSEGURIDAD