Связанная с Китаем группа использовала уязвимость BeyondTrust до выхода исправления
Группа Armory Castle атаковала как минимум одно самостоятельно размещённое устройство BeyondTrust Remote Support в августе 2026 года. После взлома злоумышленники получали root-доступ, извлекали учётные данные и использовали систему для проникновения во внутреннюю сеть.
Группа Armory Castle, которую исследователи также отслеживали под именами UNC5221 и Warp Panda, использовала неизвестную на тот момент уязвимость в BeyondTrust Remote Support. По данным BeyondTrust, 29 августа 2026 года была атакована одна самостоятельно развёрнутая установка продукта.
Уязвимость получила идентификатор CVE-2026-102764 и оценку 9,3 балла по CVSS. Она связана с недостаточной проверкой источника сообщений во внутреннем компоненте Remote Support: при определённых условиях удалённый атакующий мог выполнять файловые операции на устройстве.
Исправления для облачных клиентов Remote Support были установлены 9 октября. Владельцам самостоятельно размещённых систем версий с 24.3.1 по 26.2.3 BeyondTrust рекомендует вручную установить патч BT26-05-RS; более старые версии сначала потребуется обновить до поддерживаемого выпуска.
Google Threat Intelligence Group и Mandiant сообщили, что после успешной эксплуатации Armory Castle разворачивала компактный PHP-бэкдор SAWFLY для удалённого доступа и зашифрованной связи с управляющей инфраструктурой. Затем операторы повышали привилегии до root, закреплялись в системе так, чтобы сохранить доступ после перезагрузки, и пытались извлечь пароли, API-ключи и другие секреты из хранилища устройства.
Получив административный доступ, злоумышленники проводили разведку в Remote Support и запускали удалённые сеансы к внутренним системам, указанным в списке Jump Item. Для проксирования трафика через устройство они применяли собственный SOCKS5-туннель BARECLAW, а также удаляли журналы системы, веб-сервера и приложения, чтобы затруднить обнаружение атаки.
По оценке BeyondTrust, Armory Castle выборочно применяет уязвимости нулевого дня против выбранных целей, а после публичного раскрытия обычно переходит к массовым атакам на не обновлённые системы. Компания рекомендует считать потенциально скомпрометированным любое доступное из интернета устройство с уязвимой версией Remote Support, находившееся в сети в период атак, пока оно не будет проверено.