Le groupe d’espionnage lié à la Chine Armory Castle a exploité une vulnérabilité de sécurité dans des appareils BeyondTrust Remote Support depuis le 29 août 2026, avant qu’un correctif ne soit disponible, dans le cadre d’une campagne d’espionnage de longue durée. La vulnérabilité, référencée sous l’identifiant CVE-2026-102764, a obtenu un score de 9,3 selon le système CVSS et permet, en raison d’une validation incorrecte de l’origine des messages, d’exécuter des opérations sur les fichiers des appareils Remote Support.
BeyondTrust a identifié la faille le 28 septembre, un jour après la publication d’informations faisant état de son exploitation contre un fournisseur d’appareils de sécurité. L’entreprise a indiqué avoir préparé le correctif le 30 septembre, mais avoir retardé sa publication afin de le tester et de traiter des chemins d’exploitation supplémentaires, avant de le publier le 8 octobre dans le cadre de la mise à jour BT26-05-RS.
Périmètre concerné et mesures de correction
Toutes les versions de Remote Support jusqu’à la version 26.2.3 sont concernées, tandis que le correctif couvre les versions de 24.3.1 à 26.2.3. Les clients utilisant une version antérieure à 24.3.1 doivent effectuer une mise à niveau vers une version plus récente, puis installer le correctif. BeyondTrust a confirmé que la mise à jour avait été appliquée à tous les clients Remote Support SaaS au 9 octobre 2026, tandis que les utilisateurs d’environnements hébergés sur site doivent l’installer manuellement si les mises à jour automatiques ne sont pas activées.
Comment la compromission a-t-elle été menée ?
Selon Mandiant et le Google Threat Intelligence Group, Armory Castle, également connue sous les noms UNC5221 et Warp Panda, a utilisé la vulnérabilité pour obtenir un accès initial à un appareil BeyondTrust hébergé par l’entreprise et à un autre appareil hébergé sur site. Le groupe a ensuite déployé l’outil Sawfly, une porte dérobée prenant la forme d’un webshell PHP qui fournit une connexion chiffrée bidirectionnelle avec le serveur de commande et de contrôle, ainsi que l’outil Bareclaw, qui fonctionne comme un tunnel SOCKS5.
Le groupe a réussi à prendre le contrôle de l’hôte de l’appareil avec les privilèges root, à recueillir des identifiants et à obtenir des privilèges root sans mot de passe pour un compte de service du site, puis a supprimé les journaux système, du serveur web et des applications afin de dissimuler ses traces. Il a également utilisé des identifiants administratifs compromis pour modifier les privilèges des comptes et contrôler des systèmes distants, avant de cibler des points de terminaison internes.
Les attaquants ont également exploité les outils d’assistance intégrés à l’appareil pour accéder à l’intégralité du système de fichiers, et ont utilisé le service natif de transfert de fichiers de BeyondTrust pour télécharger et exfiltrer des documents internes sensibles depuis les appareils des utilisateurs, notamment des listes des logiciels installés qui facilitent la reconnaissance du réseau.
Pourquoi cette actualité est-elle importante ?
L’importance de l’incident tient au fait qu’un appareil Remote Support n’est pas seulement un point d’accès externe, mais peut fournir à l’attaquant une voie vers des comptes administratifs, des systèmes internes et des fichiers d’utilisateurs. La chronologie montre également que le correctif, à lui seul, ne remédie pas nécessairement aux conséquences d’une compromission antérieure, en particulier après l’utilisation d’un webshell, le vol d’identifiants et l’effacement des journaux. Les organisations concernées doivent appliquer la mise à jour selon le chemin de version approprié et examiner les appareils hébergés sur site, tout en considérant tout appareil exploité avant le 8 octobre comme nécessitant une investigation forensique et un rétablissement de la confiance, ce qui constitue une implication de sécurité fondée sur les méthodes de compromission observées par les chercheurs.
Armory Castle est connue pour cibler des fournisseurs SaaS, des entreprises technologiques, des organismes gouvernementaux, des services juridiques et des prestataires de services aux entreprises. Le groupe a déjà été observé en train d’exploiter des vulnérabilités de type jour zéro dans Citrix NetScaler, Ivanti Connect Secure et Dell RecoverPoint for Virtual Machines, ce qui place les appareils en périphérie et les systèmes d’administration à distance dans le périmètre d’intérêt constant de ce groupe.