🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Разбор инвентаризации: прогнать скрипт, открыть rmm_inventory.csv и по каждому найденному хосту выяснить: кто, когда и с какой производственной целью ставил софт.

Единый стандарт: утвердить один корпоративный инструмент. Подрядчиков и внешних специалистов пускать строго через него либо через корпоративный VPN с Jump-хостом, без установки их агентов.

Технический запрет:

Внедрить запрещающие политики AppLocker / WDAC (Deny по цифровому сертификату издателя для запрещенного пула).

Заблокировать облачные домены и IP-адреса сторонних RMM на корпоративном шлюзе/прокси.

Алертинг на новые службы: настроить в SIEM / Event Log триггер на Event ID 7045 в журнале System («В системе была установлена новая служба») с фильтром по ключевым словам RMM-агентов.

Контроль ScreenConnect: если продукт используется официально — срочно проверьте версии на закрытие CVE-2026-84869.

#security #rmm #remoteaccess #threathunting #powershell #windows #linux #sysadmin #admin_future

🚨 BeyondTrust Remote Support: обход аутентификации, китайская APT и удалённые логи. Ещё один инструмент удалённого доступа под атакой

Коллеги, продолжаем тему «легитимный удалённый доступ как вход для атакующих».

📌 ФАКТЫ
CVE-2026-102764, CVSS 9.3 — обход аутентификации в BeyondTrust Remote Support

Эксплуатация с конца августа по сентябрь, пострадали минимум два клиента BeyondTrust

Mandiant видит пересечение с китайской группой UNC5221. После входа: повышение привилегий, горизонтальное перемещение, веб-шелл SAWFLY, туннель BARECLAW, удаление логов на устройстве

CISA добавила CVE в KEV

Privileged Remote Access (PRA) использует тот же код: эксплуатацию BeyondTrust не воспроизвела, но патч выпустила и рекомендует ставить

С версиями путаница: в одних источниках уязвимы версии до 26.2.3, в других исправлением названа 24.3.1. Сверяйте с бюллетенем BT26-05

🛡 ПЛАН
Обновить self-hosted Remote Support и PRA по BT26-05

Проверить устройство на компрометацию: Mandiant предупреждает, что часть механизмов закрепления переживает перезагрузку и сброс конфигурации

Сменить учётки, которые проходили через инструмент, — особенно привилегированные

Логи с устройства — во внешний SIEM, чтобы их нельзя было стереть на месте

💡 В ЧЁМ СУТЬ

Инструмент привилегированного доступа — это ключи от всего, к чему он подключается. Его логи должны уходить наружу в реальном времени: здесь атакующие удаляли их на самом устройстве.

#security #beyondtrust #remoteaccess #apt #kev #sysadmin #admin_future