与中国有关联的间谍组织 Armory Castle 自 2026年8月29日起，在尚无可用补丁的情况下利用 BeyondTrust Remote Support 设备中的安全漏洞，实施了一场长期网络间谍活动。该漏洞编号为 CVE-2026-102764，CVSS 评分为 9.3。由于未能正确验证消息来源，该漏洞可让攻击者在 Remote Support 设备上执行文件操作。
BeyondTrust 于 9月28日确认了该缺陷，此前一天已有公开信息显示，该漏洞被用于攻击一家安全设备供应商。该公司表示，已于 9月30日前准备好补丁，但为进行测试并处理其他利用路径而推迟发布，最终于 10月8日在 BT26-05-RS 更新中发布补丁。
受影响范围与补丁措施
所有最高至 26.2.3 版本的 Remote Support 均受到影响，而补丁覆盖 24.3.1 至 26.2.3 版本。使用早于 24.3.1 版本的客户必须先升级到较新版本，然后安装补丁。BeyondTrust 确认，截至 2026年10月9日，所有 Remote Support SaaS 客户均已应用该更新；对于自托管环境用户，如果未启用自动更新，则必须手动安装补丁。
攻击是如何实施的？
据 Mandiant 和 Google Threat Intelligence Group 称，Armory Castle（也称 UNC5221 和 Warp Panda）利用该漏洞获得了对一台由公司托管的 BeyondTrust 设备和另一台自托管设备的初始访问权限。随后，该组织部署了 Sawfly 工具。这是一种 PHP webshell 后门，可与控制服务器建立加密双向通信；同时还部署了作为 SOCKS5 隧道运行的 Bareclaw 工具。
该组织获得了设备主机的 root 权限，收集凭据，并在无需网站服务账户密码的情况下取得 root 权限，随后删除系统、Web 服务器和应用程序日志，以隐藏其活动痕迹。该组织还利用被盗的管理凭据修改账户权限并控制远程系统，之后将目标转向内部终端。
攻击者还利用设备内置的支持工具访问整个文件系统，并使用 BeyondTrust 原生文件传输服务从用户设备下载、窃取敏感内部文档，其中包括已安装软件列表，这些列表可帮助其侦察网络。
为什么这一消息很重要？
此次事件的重要性在于，Remote Support 设备不仅是一个外部访问点，还可能为攻击者提供通往管理账户、内部系统和用户文件的路径。攻击过程还表明，单纯安装补丁未必能够消除先前入侵造成的影响，尤其是在攻击者使用 webshell、窃取凭据并清除日志之后。受影响机构需要根据适用的版本路径安装更新并检查自托管设备；对于任何在 10月8日前遭到利用的设备，都应将其视为需要进行取证调查和恢复信任的对象。这是基于研究人员发现的入侵手法得出的安全判断。
Armory Castle 以攻击 SaaS 供应商、科技公司、政府机构、法律服务机构和商业服务承包商而闻名。此前还曾发现该组织利用 Citrix NetScaler、Ivanti Connect Secure 和 Dell RecoverPoint for Virtual Machines 中的零日漏洞，这表明边缘设备和远程管理设备一直是该组织持续关注的目标。