China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers

Exploitation de BeyondTrust par le groupe Armory Castle

Le groupe de cyberespionnage « Armory Castle » (ex-UNC5221) a exploité une faille zero-day dans les solutions BeyondTrust Remote Support pour infiltrer des systèmes, élever ses privilèges et maintenir une présence persistante afin d’exfiltrer des données sensibles.

Points clés :

• Cible : Appliances BeyondTrust Remote Support (auto-hébergées).
• Mode opératoire : Déploiement d’un web shell PHP (SAWFLY), utilisation de proxys SOCKS5 (BARECLAW) et exploitation poussée des fonctionnalités internes de l’appliance.
• Techniques : Escalade de privilèges via SUID, vol de secrets via l’utilitaire /ns/sbin/bt-secrets et mouvement latéral vers des systèmes internes via les « Jump Items ».
• Dissimulation : Utilisation de nœuds VPN commerciaux/routeurs compromis pour masquer le trafic et suppression systématique des journaux d’activité.

Vulnérabilité identifiée :

• CVE-2026-102764 (Score CVSS : 9.3) : Défaut de validation d’origine dans un composant de messagerie interne permettant à un attaquant distant d’effectuer des opérations sur les fichiers de l’appliance.

Recommandations :

• Mise à jour immédiate : Les clients SaaS sont déjà patchés. Les utilisateurs de solutions auto-hébergées (versions 24.3.1 à 26.2.3) doivent impérativement installer le patch BT26-05-RS. Les versions antérieures à 24.3.1 nécessitent une mise à jour complète vers une version plus récente.
• Audit de sécurité : Toute instance exposée à Internet durant la fenêtre d’exploitation doit être considérée comme potentiellement compromise et faire l’objet d’une enquête approfondie.

Source