Анализ: как выявить взлом BeyondTrust, когда логи удалены

Разбор атаки на BeyondTrust через CVE-2026-102764: злоумышленники удалили системные и прикладные логи, поэтому детект нужно строить по внешним источникам — фаерволам, прокси и журналам сессий. Сканирование ZoomEye на 23 октября нашло 966 активов с заголовком BeyondTrust.

• Атакующие удалили системные, веб- и прикладные логи прибора BeyondTrust
• ZoomEye: 966 активов с title="BeyondTrust", 226 — Privileged Remote Access
• Закрепление шло через шаблоны конфигурации и права, переживает перезагрузку
• Детект опирается на логи фаервола, прокси и сессий к внутренним хостам