A ferramenta do help desk virou porta de espionagem: falha inédita no BeyondTrust era explorada desde agosto

Quando o computador de alguém trava e o suporte “assume a tela” para resolver, é bem provável que esteja usando uma ferramenta como o BeyondTrust Remote Support — o antigo Bomgar, presente em milhares de empresas. A fabricante diz atender mais de 20 mil clientes, incluindo 75% das 100 maiores empresas americanas. Por definição, é um sistema que entra em todas as máquinas e guarda as credenciais para isso.

Em 15 de outubro, a BeyondTrust publicou o aviso BT26-05 sobre uma falha nesse sistema, a CVE-2026-102764, com nota 9,3 de 10. No mesmo dia, o grupo de inteligência de ameaças do Google (que inclui a Mandiant) contou o resto da história: a falha vinha sendo explorada como zero-day — antes de existir correção — desde o fim de agosto, por um grupo de espionagem ligado à China.

O que a falha permite

Em termos simples: um invasor sem login nenhum consegue enviar arquivos para o equipamento do Remote Support. A partir daí, segundo o Google, dá para assumir o servidor e alcançar todas as credenciais que ele guarda ou intermedeia. A BeyondTrust descreve o problema como validação de origem imprópria em um componente interno de mensagens. Estão afetadas as versões 26.2.3 e anteriores. O Privileged Remote Access (PRA), que compartilha o mesmo código, também recebeu correção — por precaução, segundo a empresa, que diz não ter encontrado forma de explorá-lo.

Os clientes da versão em nuvem foram corrigidos entre 8 e 9 de outubro, antes do anúncio. Quem roda o equipamento na própria infraestrutura precisa aplicar o pacote manualmente, a menos que tenha a atualização automática ligada.

O passo a passo dos invasores

O Google atribui os ataques ao ARMORY CASTLE, grupo que antes rastreava como UNC5221 (a CrowdStrike o chama de Warp Panda). A descrição do que ele fez dentro de um cliente mostra por que essa ferramenta é um prêmio:

• Onze minutos depois das primeiras requisições, havia um webshell — uma página escondida que recebe comandos — instalado e programado para responder “página não encontrada” a quem não enviasse um parâmetro secreto.
• Uma cópia do interpretador de comandos com permissão de administrador máximo foi plantada com nome de serviço do sistema, como porta dos fundos permanente.
• Com o utilitário do próprio equipamento, os invasores extraíram o cofre de credenciais — e depois apagaram o log que registrava isso.
• Um script garantia privilégio total, sem senha, a uma conta de serviço do sistema — mesmo depois de reiniciar o servidor.
• Logados com uma conta de administrador comprometida, mudaram as permissões de acesso às máquinas gerenciadas de “sem acesso” para “administrador”, abriram sessões de suporte remoto e levaram documentos como inventários de software.
• Por fim, esconderam um túnel de acesso atrás do próprio proxy do equipamento, invisível para varreduras externas, e apagaram uma lista longa de registros do sistema.

Por que o aviso é urgente agora

O Google é direto: as empresas devem se preparar para exploração em larga escala depois da divulgação, porque esse grupo e outros atores costumam partir para ataques amplos e oportunistas assim que uma falha se torna pública. Foi o que aconteceu em 2024 com a VPN da Ivanti — fabricante que, aliás, voltou ao noticiário na semana passada com três falhas inéditas. Segundo a Shadowserver, citada pelo BleepingComputer, há mais de 1.400 instalações do Remote Support expostas na internet.

O que fazer, na ordem certa

A recomendação do Google vai além do “atualize”:

1. Corrigir com o pacote BT26-05 (em instalações próprias a partir da versão 24.3.1, o BT26-05-RS; versões mais antigas precisam primeiro migrar para uma suportada).
2. Tratar como possivelmente invadido todo equipamento vulnerável que ficou acessível pela internet durante a janela de ataques, até prova em contrário.
3. Preservar evidências antes de mexer: cópia do disco e da memória, além dos registros de firewall, proxy e servidor de logs externo — os locais podem ter sido apagados.
4. Reconstruir a partir de imagem limpa em vez de tentar “limpar” o servidor.
5. Trocar as credenciais só depois da correção ou da reconstrução, começando pelas de administração do próprio equipamento e seguindo para cofre, integrações e contas de serviço.

Os sinais que valem uma olhada nos registros: permissões elevadas para “administrador” sem chamado aberto, contas de API ou provedores de login criados do nada, acessos bem-sucedidos vindos de redes residenciais ou VPNs comerciais fora do horário, páginas .php desconhecidas e, principalmente, buracos no envio de logs — o silêncio também é pista. Para o futuro, o Google recomenda login único com MFA resistente a phishing, perfil padrão “sem acesso” e restrição das telas de administração a endereços conhecidos.

Ferramenta de suporte remoto é, na prática, uma chave-mestra emprestada ao help desk. O caso BeyondTrust lembra que a pergunta certa nesta semana não é só “já atualizamos?”, mas “quem mais usou essa chave desde agosto?”.

Fontes

• BeyondTrust — Security Advisory BT26-05, CVE-2026-102764 (15/10/2026): beyondtrust.com
• Google Threat Intelligence Group / Mandiant — “ARMORY CASTLE Exploits BeyondTrust” (15/10/2026): cloud.google.com
• BleepingComputer — “BeyondTrust patches zero-day exploited in attacks since August” (16/10/2026): bleepingcomputer.com

• CISA — Known Exploited Vulnerabilities Catalog: cisa.gov

• Foto de capa: supervisor de defesa cibernética durante exercício de treinamento da Força Aérea dos EUA — Master Sgt. Renae Pittman/U.S. Air Force, domínio público, via Wikimedia Commons

• Segunda imagem: equipe analisa um ataque durante exercício de guerra cibernética em Fort Gordon, na Geórgia (EUA) — Georgia National Guard, CC BY 2.0, via Wikimedia Commons