遠隔操作ソフト「BeyondTrust」はなぜ8月下旬からゼロデイ攻撃を受けていたのか。「ARMORY CASTLE」の侵入手口を確かめる

まず初めに

遠隔操作ソフトという、社内の奥まで入れる「正規の鍵」が、公表前から攻撃の足場にされていた。しかも鍵を持ち去ったのは、片手間の愉快犯ではなく、国家の後ろ盾を疑われる本職のスパイ集団である。ログを消す手際、権限を奪う手順、どれもが「初めてやった感」とは無縁の、使い慣れた道具の扱い方だった。これはジョークにして笑って済ませる話ではない。パッチの適用状況を確認し、侵害の痕跡や認証情報・設定も点検する必要がある。

何が起きているのか

BeyondTrustびよんどとらすとは2026年10月15日、遠隔サポート製品「BeyondTrust Remote Support」(旧称Bomgar)に存在する脆弱性「CVE-2026-102764」を公表しました。この製品は、企業のIT部門が社内外のエンドポイントえんどぽいんと(社員が使うパソコンなどの端末)に安全に接続し、トラブル対応を行うための遠隔アクセスソフトです。今回の脆弱性は、認証されていない第三者が任意のファイルをアップロードできてしまうもので、Remote Supportの26.2.3以下が影響を受けます。パッチ「BT26-05-RS」を適用できるのは24.3.1〜26.2.3で、それより古い版は更新してから適用する必要があります。

Googleの脅威インテリジェンスチーム(GTIG)とMandiantは、インシデント対応の調査の過程で、この脆弱性が公表よりも前の2026年8月下旬の時点で、「ARMORY CASTLE」(旧称UNC5221)と呼ばれる攻撃グループによって、修正前のゼロデイぜろでいとして悪用されていた証拠を確認したと公式ブログで報告しました。BeyondTrustは、9月28日に同社ホスト版の侵害を検知し、特定から27分で封じ込めたと説明しています。ARMORY CASTLEは、中国系(PRC-nexus)とみられるスパイ活動すぱいかつどうグループで、2023年10月ごろから活動が確認されており、これまでも企業の境界に設置するエッジ機器えっじきき(社内ネットワークと外部の境界に置かれる機器)の脆弱性を悪用してきた実績があるとGTIGは説明しています。

公式ブログは、侵入後の具体的な手口を段階ごとに詳しく解説しています。まず、脆弱性を悪用した直後に、独自に開発されたWebシェルうぇぶしぇる「SAWFLY」(ファイル名mangoapi.php)を設置し、暗号化された通信で外部とC2しーつー(攻撃者が侵入後の端末を操作するための通信経路)を確立しました。次に、システムの標準シェルファイルを別の名前でコピーし、所有者をroot(最高権限のユーザー)に変更した上で「SUIDえすゆーあいでぃー」という権限を付与する手口で、本来は権限の低いアカウントのまま、実質的にroot権限を得ていました。さらに、BeyondTrust製品が独自に備える認証情報管理機能(bt-secrets)を使って、保存されているパスワードやAPIキーをまとめて取得しようとした記録も確認されています。攻撃者は、起動時に自動実行されるスクリプトを使って、再起動や設定リセットをしても消えない形でroot権限を維持する工夫まで行っていました。

侵入後は、管理者権限を奪った{{BeyondTrust}}の管理アカウントを使い、接続先端末の権限を「アクセス不可」から「管理者」に書き換えることで、社内の他の端末に横方向に移動できる状態を作っていたことも分かっています。さらに、独自開発のトンネリングツールとんねりんぐつーる「BARECLAW」を使い、BeyondTrust機器を経由して外部から社内ネットワークへアクセスできる通信経路を作っていました。これらの活動の間、攻撃者は認証ログやWebサーバーのログを繰り返し削除し、調査を困難にしていたことも報告されています。

なぜ重要なのか

この事案が重要なのは、狙われたのが「社内ネットワークに安全にアクセスするための正規の仕組み」そのものだったという点です。GTIGは、このアプライアンスが保存・中継する認証情報に攻撃者がアクセスできた可能性を指摘しており、単なる1台の端末の侵害では終わらない、被害が広がりやすい性質を持つ脆弱性だったと説明しています。

さらにGTIGは、ARMORY CASTLEがこれまでにも、脆弱性が一般に公表された直後に、広範囲かつ無差別な悪用を行ってきた過去の行動パターンを指摘しています。具体的には、2024年に別の脆弱性(CVE-2023-46805、CVE-2024-21887)が公表された際にも、同様の広範な悪用が観測されたとしており、今回のCVE-2026-102764についても、公表後に悪用が広がる可能性があるとGTIGは警告しています。パッチが存在していても、適用が遅れた組織から先に被害が広がりやすいというのが、この種の脆弱性の特徴です。

私たちへの影響

BeyondTrust Remote Supportは、企業のIT部門やコールセンターが遠隔サポートに使う業務用のソフトであり、一般の利用者が直接この製品を操作する機会はほとんどありません。ただし、私たちが日常的に利用する通信・金融・行政サービスなどの「裏側」で、こうした遠隔サポート製品が使われている可能性があります。影響を受けた企業の内部ネットワークに侵入されれば、結果として私たちの個人情報が保存されているシステムにまで影響が及ぶ可能性は否定できません。

BeyondTrust Remote Supportを利用する企業・組織は、提供形態に応じて対応を確認してください。BeyondTrustによると、クラウド版(SaaS)の機器には2026年10月9日までにパッチが適用され、利用者による機器への追加パッチ作業は不要です。一方、GTIG/MandiantはSaaS利用者にも認証情報と設定に関する対策を勧めています。具体的には、侵害の兆候を調べ、利用者・サービスアカウントの認証情報やAPIキーの更新、不要なアクセス権・設定変更の確認を検討することです。認証情報の更新は機器のパッチ適用または再構築を確認した後に行います。

自社運用(セルフホスト)版では、バージョン24.3.1以降はパッチ「BT26-05-RS」を適用し、それより古い場合は対応バージョンへアップグレードしてからパッチを適用します。GTIGは、悪用が確認されていた期間中にインターネットから到達可能だった機器を侵害された可能性があるものとして調査し、侵害が疑われる場合は証拠を保全して機器を隔離・再構築するよう助言しています。

初心者が知っておくべきこと

「ゼロデイぜろでい」とは、開発元がまだ把握していない、または修正を用意できていない脆弱性が悪用される状況を指します。今回のケースでは、公表前の8月下旬から悪用が確認されています。BeyondTrustは9月28日に同社ホスト版の侵害を検知したと説明しています。

「Webシェルうぇぶしぇる」とは、攻撃者がWebサーバーに不正に設置する小さなプログラムのことで、設置されると外部からそのサーバーに命令を送り、ファイルの操作やほかのプログラムの実行ができるようになってしまいます。今回の事案で使われた「SAWFLY」も、この一種です。

Q. BeyondTrustという会社のサービスを自分が直接使っているかどうか、どうすれば分かりますか。 A. 出典の記事は企業のIT部門向けの技術的な解説であり、一般の利用者が自分で確認する方法については記載がありません。契約しているサービスの提供企業が、遠隔サポートにどの製品を使っているかは、通常は利用者側から確認できません。

IT Postの見方――「正規の裏口」を狙う手口のしつこさ

IT Postは、今回のGTIGの報告が、単に「脆弱性が見つかった」という話で終わっていない点を評価する。Webシェルの作り、SUID権限を使った権限奪取、ログの削除まで、攻撃者側の手口を細部まで公開し、対応する組織が自分のシステムで同じ痕跡を探せるようにしている点は、防御側にとって実務的に役立つ情報だ。

一方で気になるのは、狙われたのが「社内ネットワークに安全にアクセスするための正規の仕組み」だったという事実そのものだ。遠隔サポート製品やVPN機器のような「境界を守る道具」は、便利であるほど狙われやすく、しかも侵害されたときの被害が全社に広がりやすい。今回のような手口が今後も繰り返されるなら、企業側に求められるのは「パッチをいつ当てたか」だけでなく「境界にある機器が侵害された前提で、内部の被害をどう食い止めるか」という発想への切り替えだと、IT Postでは考える。利用者としては、企業側の対応の速さが、結局は自分たちの個人情報の安全に直結しているという事実を、こうした報道のたびに意識しておく価値があるだろう。※個人の感想です

今後どうなりそうか

GTIGは、CVE-2026-102764の公表後、ARMORY CASTLE自身、あるいは他の攻撃グループによる悪用が広がる可能性があると警告しており、パッチを適用していない組織は早急な対応が求められます。BeyondTrustは2026年8月29日に同社ホスト版1件と自社運用版1件が悪用されたと公表しています。一方、被害組織名や既知の2件を超える全体の被害範囲は、記事の時点で確認できません。IT Postでは、この脆弱性をめぐる被害の広がりや、新たな事実が明らかになった時点で、あらためて取り上げます。