Le groupe chinois Armory Castle exploite une faille zero-day dans BeyondTrust Remote Support

Le 16 octobre 2026, BeyondTrust — l'éditeur de Johns Creek, en Géorgie, de logiciels d'accès à privilèges et d'assistance à distance — a révélé qu'un groupe d'espionnage présumé lié à la Chine avait exploité une faille zero-day jusqu'alors inconnue dans ses boîtiers Remote Support. Référencée CVE-2026-102764 et notée 9,3 sur l'échelle CVSS 4.0, la faille est une faiblesse de « validation d'origine incorrecte » dans un composant de messagerie interne qui ne validait pas suffisamment l'origine des messages, permettant à un attaquant distant d'effectuer des opérations sur les fichiers d'un boîtier affecté. Le même jour, l'agence américaine de cybersécurité CISA a publié un avis et ajouté la faille à son catalogue des vulnérabilités activement exploitées.

Selon la chronologie de BeyondTrust, le groupe — que Google et Mandiant suivent sous le nom d'Armory Castle (également connu sous UNC5221 ou Warp Panda) — a d'abord exploité la faille en zero-day contre un unique boîtier auto-hébergé le 29 août 2026. L'éditeur a lancé son enquête après que l'exploitation d'un autre fournisseur d'équipements de sécurité est devenue publique fin septembre, puis a déployé des correctifs pour tous les clients Remote Support en SaaS le 9 octobre. Les clients auto-hébergés sous les versions 24.3.1 à 26.2.3 doivent appliquer manuellement le correctif BT26-05-RS, tandis que les installations plus anciennes doivent d'abord être mises à niveau.

Ce qu'ont fait les attaquants

Google Threat Intelligence Group et Mandiant ont décrit une intrusion manuelle et approfondie une fois le boîtier compromis. Les attaquants ont copié /bin/sh vers un binaire système et attribué des permissions SUID pour obtenir le contrôle root, tenté d'extraire des secrets du magasin d'identifiants du boîtier à l'aide de l'outil bt-secrets, et détourné des modèles de configuration pour un accès root sans mot de passe. Ils ont ensuite utilisé des identifiants d'administrateur dérobés pour lancer des sessions distantes vers les systèmes clients en aval et exfiltrer des documents, déployé un webshell PHP baptisé SAWFLY et un proxy SOCKS5 nommé BARECLAW, et supprimé les journaux système, serveur web et applicatifs pour entraver la détection. Pour se fondre dans le trafic, ils ont acheminé leurs communications via des nœuds de sortie VPN commerciaux et des routeurs domestiques et de petites entreprises compromis.

Un schéma récurrent

L'incident s'inscrit dans une série d'exploitations, par des acteurs étatiques, d'équipements de sécurité et d'accès distant exposés sur Internet, qui concentrent identifiants à privilèges et connectivité de confiance et constituent donc des points d'ancrage de grande valeur. BeyondTrust a indiqué qu'il retenait les détails techniques les plus poussés le temps que ses clients appliquent le correctif, et n'a pas précisé combien de boîtiers avaient finalement été visés.