Google advirtió el 15 de octubre que las organizaciones deberían prepararse para una posible explotación generalizada tras el descubrimiento de un nuevo fallo en los dispositivos de soporte remoto de la empresa estadounidense de ciberseguridad BeyondTrust.
La vulnerabilidad afecta a BeyondTrust Remote Support, una herramienta empresarial que permite a los equipos de tecnologías de la información acceder de forma remota a ordenadores y otros dispositivos y solucionar problemas en ellos.
Según el Google Threat Intelligence Group y Mandiant —la empresa de inteligencia sobre amenazas de ciberseguridad y respuesta a incidentes de Google—, el aprovechamiento exitoso de esta vulnerabilidad proporciona a los atacantes acceso a credenciales, les permite subir archivos a su antojo y tomar el control del host.
El 15 de octubre, BeyondTrust, con sede en Georgia, reveló la vulnerabilidad, CVE-2026-102764, que afecta a los dispositivos de BeyondTrust Remote Support.
No leas más noticias. Entiéndelas.
En Epoch Times Español queremos estar en contacto directo contigo
Seleccionamos para ti lo que de verdad importa, sin ruido ni agendas. Es un canal abierto: si nos escribes, te respondemos.
Durante una intervención de respuesta a incidentes, Mandiant identificó pruebas de que Armory Castle, un actor de espionaje presuntamente vinculado al Estado chino, explotó esta vulnerabilidad a finales de agosto.
"Las organizaciones deben prepararse para una posible explotación generalizada tras esta revelación, ya que ARMORY CASTLE y otros actores maliciosos han llevado a cabo históricamente una explotación amplia y oportunista una vez que la vulnerabilidad se hace pública", afirmó Google.
"Recomendamos encarecidamente que las organizaciones afectadas apliquen de inmediato los parches de seguridad proporcionados por BeyondTrust para corregir la vulnerabilidad".
La vulnerabilidad CVE-2026-102764 afecta a todas las versiones de soporte remoto compatibles hasta la 26.2.3 y permite a un atacante remoto no autenticado realizar operaciones con archivos en el dispositivo, lo que puede dar lugar al control a nivel de host y al acceso a todas las credenciales que el dispositivo almacena o gestiona.
Una entrada del blog de BeyondTrust del 15 de octubre indicaba que los objetivos documentados anteriormente por Armory Castle "incluyen servicios jurídicos, proveedores de SaaS, empresas de externalización de procesos empresariales, empresas tecnológicas y organismos gubernamentales".
Se señalaba que Armory Castle ha "demostrado históricamente un alto grado de concienciación en materia de seguridad operativa, prácticas profesionales y técnicas de espionaje".
Anterior ataque a BeyondTrust en el Tesoro
En diciembre de 2024, unos hackers chinos violaron de forma remota la seguridad del Departamento del Tesoro de EE. UU. y robaron documentos de sus estaciones de trabajo, según una carta que la agencia envió a los legisladores. El Departamento del Tesoro calificó la violación como un "incidente grave".Hackers patrocinados por el Estado chino comprometieron al proveedor externo de servicios de software BeyondTrust, accediendo a determinados documentos no clasificados, según la carta de Aditi Hardikar, secretaria adjunta del Tesoro.
La carta indicaba que los hackers obtuvieron "acceso a una clave utilizada por el proveedor para proteger un servicio basado en la nube que se emplea para proporcionar asistencia técnica de forma remota a los usuarios finales de las Oficinas Departamentales (DO) del Departamento del Tesoro.
Con el acceso a la clave robada, el actor malicioso pudo eludir la seguridad del servicio, acceder de forma remota a determinadas estaciones de trabajo de usuarios de las DO del Tesoro y acceder a ciertos documentos no clasificados que gestionaban dichos usuarios".
El departamento no especificó cuántas estaciones de trabajo se habían visto comprometidas ni qué tipo de documentos podrían haber obtenido los piratas informáticos. Sin embargo, en la carta se indicaba que el servicio de BeyondTrust se había desconectado y que "en este momento no hay pruebas que indiquen que el autor de la amenaza siga teniendo acceso a la información del Tesoro".
El departamento afirmó que estaba colaborando con el FBI y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras para investigar el alcance del ataque.
El incidente se produjo mientras las autoridades estadounidenses siguen evaluando el alcance de la brecha de ciberseguridad provocada por el grupo de hackers chino "Salt Typhoon", respaldado por el Estado, que lleva a cabo una amplia campaña de espionaje desde 2022.
