BeyondTrust: бэкдор в PAM-аппарате переживал каждую перезагрузку

Группа ARMORY CASTLE семь недель удерживала доступ в PAM-аппарате BeyondTrust Remote Support через уязвимость CVE-2026-102764 (CVSS 9.3). Бэкдор восстанавливался из отравленного загрузочного скрипта при каждой перезагрузке, а через bt-secrets злоумышленники выкачали хранилище учётных данных и удалили логи.

• CVE-2026-102764 — обход аутентификации с оценкой CVSS 9.3
• Бэкдор восстанавливал root-запись в sudoers при каждой загрузке
• Через bt-secrets выкачано хранилище учётных данных, логи удалены
• Mandiant советует пересобирать аппарат из чистого образа, а не чистить