Qué es

BARECLAW es un túnel de red desplegado por el actor ARMORY CASTLE. Se reporta desde finales de agosto de 2026. La evidencia lo clasifica explícitamente como un tunneler utilizado para establecer acceso persistente y moverse lateralmente dentro de la infraestructura comprometida.

Cómo llega

Entra tras explotar la vulnerabilidad CVE-2026-102764 en BeyondTrust Remote Support. Esta falla permite la carga de archivos arbitrarios sin autenticación. El actor la explotó como día cero antes de la divulgación oficial. No se mencionan señuelos específicos para esta entrada.

Qué hace una vez dentro

Establece acceso persistente y permite movimiento lateral dentro de la red comprometida. Se despliega junto con el webshell SAWFLY tras la explotación inicial. La evidencia lo clasifica exclusivamente como un túnel para mantener la conexión y facilitar la movilidad del actor dentro de la infraestructura afectada.

A quién ataca

Apunta a infraestructuras que utilizan dispositivos de BeyondTrust Remote Support. La evidencia menciona compromisos en instancias alojadas y dispositivos autoalojados. No especifica sectores industriales ni regiones geográficas específicas más allá del contexto de espionaje atribuido a PRC.

Técnicas de MITRE ATT&CK

Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.

Grupos que la usan

ARMORY CASTLE

Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Vulnerabilidades asociadas

Actividad en feeds públicos

Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.

Fuentes

• AlienVault OTX: ARMORY CASTLE Exploits BeyondTrust
• AlienVault OTX: CVE-2026-102764: Critical BeyondTrust Remote Support Authentication Bypass Exploited in the Wild