if ( !emtpy($headline_subheadline ) ) : ?>
Google et Mandiant affirment que la compromission des appliances BeyondTrust par ARMORY CASTLE augmente le risque d’attaques plus larges, faisant écho aux précédentes vagues d’exploitation d’Ivanti.
endif; ?>
Les organisations exécutant BeyondTrust Remote Support auto-hébergé devraient considérer les appareils exposés comme potentiellement compromis après qu’un groupe d’espionnage chinois présumé ait exploité un jour zéro critique pour obtenir le contrôle racine, accéder aux coffres-forts d’informations d’identification et établir des points d’appui pour les mouvements latéraux, selon Mandiant et Google Threat Intelligence Group.
« Les organisations devraient se préparer à une éventuelle exploitation à grande échelle suite à cette divulgation », ont déclaré Google Threat Intelligence Group (GTIG) et Mandiant dans un article de blog. Le message attribue l’exploitation du jour zéro à ARMORY CASTLE, un acteur d’espionnage présumé lié à la RPC, anciennement suivi sous le nom d’UNC5221, et le date de fin août.
BeyondTrust a divulgué la faille CVE-2026-102764 le même jour dans l’avis BT26-05 et a déclaré avoir déjà publié un correctif le 8 octobre. Selon l’enregistrement CVE, elle obtient un score de 9,3 sur CVSS 4.0 et affecte les versions de support à distance jusqu’à 26.2.3. Mandiant a déclaré qu’un attaquant non authentifié peut l’exploiter pour effectuer des opérations sur les fichiers, conduisant à un contrôle au niveau de l’hôte et à un accès à tous les identifiants stockés ou négociés par l’appliance.
BeyondTrust a exhorté les clients auto-hébergés à appliquer le correctif immédiatement et a déclaré dans un article de blog qu’il retient les détails techniques pendant qu’ils le font.
Un mois non détecté
Le calendrier de BeyondTrust place la première exploitation au 29 août, contre une instance hébergée par BeyondTrust et une appliance auto-hébergée. La société a découvert l’intrusion le 28 septembre, après que les appliances Edge d’un autre fournisseur ont été publiquement signalées comme compromises et que Mandiant a envoyé un bref avertissement non spécifique.
« Nos capteurs se sont déclenchés en temps réel lorsque l’acteur a augmenté ses privilèges », a écrit BeyondTrust sur le blog. L’outil de tri intégré à sa plate-forme de détection tierce a ensuite classé ces alertes comme faux positifs, a indiqué la société, sans nommer le fournisseur. BeyondTrust a déclaré avoir contenu l’instance hébergée 27 minutes après son identification et travailler avec le fournisseur, de sorte que le tri automatisé ne peut pas fermer seul les signaux de haute gravité.
Aucune des deux sociétés n’a indiqué si d’autres clients avaient été compromis.
Racine, persistance et effacement des journaux
Environ 11 minutes après la première requête malveillante, un shell Web PHP appelé Mandiant SAWFLY est apparu à la racine Web de l’appliance, a indiqué Google dans le billet de blog.
Pour passer du compte de service non privilégié de SAWFLY, l’acteur a copié /bin/sh vers /usr/bin/dbus-authd, a fait de root son propriétaire et a défini le bit SUID, a déclaré Mandiant. Il a ensuite implanté un script de démarrage qui écrit une entrée sudo sans mot de passe dans le modèle sudoers de BeyondTrust, afin que l’accès survive aux redémarrages et aux réinitialisations de configuration.
Selon le billet de blog, l’acteur a également essayé plusieurs variantes de bt-secrets, un utilitaire de ligne de commande propriétaire de BeyondTrust, pour vider le coffre-fort d’informations d’identification de l’appliance. Il a ensuite supprimé plus d’une douzaine de journaux système, de serveur Web et d’applications.
Retourner l’outil du service d’assistance contre son propriétaire
Dans le billet de blog, Mandiant a ajouté que l’attaquant avait augmenté les autorisations d’élément de saut et d’équipe du compte de Aucun accès à Administrateur en utilisant un compte d’administrateur compromis.
« Ce changement de configuration a accordé à l’acteur malveillant une autorisation permanente et illimitée pour lancer des sessions à distance vers des systèmes en aval renseignés dans la liste des éléments de saut de l’appliance », ajoute le billet de blog.
Il a également déployé BARECLAW, un tunnelier SOCKS5 personnalisé, et modifié la configuration HAProxy de l’appliance pour acheminer le trafic vers celui-ci via un écouteur local caché, indique le message.
Les clients SaaS ne sont pas à l’abri
BeyondTrust a déclaré que les instances SaaS de support à distance et d’accès à distance privilégié ont été corrigées automatiquement et que ces clients n’ont besoin de prendre aucune autre mesure. Le rapport de Mandiant date le déploiement du SaaS au 9 octobre et indique que les étapes de rotation des informations d’identification et de révision de la configuration s’appliquent toujours aux clients SaaS.
Les appareils auto-hébergés sur la version 24.3.1 ou ultérieure peuvent appliquer le correctif BT26-05-RS à partir de l’interface /appliance, a déclaré Mandiant. Les versions plus anciennes doivent d’abord être mises à niveau, et la mise à niveau ne corrige pas l’exposition antérieure. BeyondTrust a également corrigé Privileged Remote Access, qui partage le code concerné, bien qu’il n’ait trouvé aucun moyen d’exploiter PRA.
« Tout appareil accessible depuis Internet sur une version vulnérable pendant la fenêtre d’exploitation doit être traité comme potentiellement compromis jusqu’à ce qu’il ait été examiné », a déclaré Mandiant dans le message.
Étant donné que les clients ne peuvent pas auditer le système de fichiers hôte de l’appliance, Mandiant recommande de prendre un instantané des appliances suspectes avant tout redémarrage et de reconstruire celles qui sont compromises à partir d’une image propre. Il conseille de ne faire tourner les informations d’identification qu’après l’application des correctifs, afin que de nouveaux secrets n’atteignent pas une boîte que l’attaquant contrôle toujours.
Même groupe, même playbook
GTIG a déclaré qu’ARMORY CASTLE est actif depuis au moins octobre 2023 et a évalué avec une grande confiance qu’il continuerait à exploiter les appareils de pointe zéro jour. BeyondTrust a déclaré que CrowdStrike suit le même cluster que WARP PANDA.
« Il est possible que nous observions des tentatives d’exploitation généralisées similaires associées à CVE-2026-102764 », a déclaré Mandiant dans le message.
GTIG a comparé le risque à 2024, lorsque le groupe est passé à l’exploitation de masse après la révélation des failles d’Ivanti Connect Secure. En 2025, il a transformé un correctif Ivanti en un exploit fonctionnel. BeyondTrust a déclaré soupçonner, sans preuve médico-légale, que l’acteur utilise l’IA pour modéliser les produits qu’il cible, faisant écho à une conclusion du GTIG selon laquelle les attaquants exploitent plus rapidement les failles nouvellement révélées.
BT26-05 est le troisième avis de support à distance évalué par BeyondTrust cette année, selon son index consultatif. En février, CVE-2026-1731 a fait l’objet d’une attaque active peu de temps après sa divulgation, et CISA l’a ajouté à son catalogue de vulnérabilités exploitées connues.
