Un acteur d’espionnage présumé lié à la Chine a exploité depuis fin août une vulnérabilité zero-day dans BeyondTrust Remote Support, selon un rapport publié jeudi par Google Threat Intelligence Group. L’exploitation a permis le déploiement de portes dérobées personnalisées, la collecte d’identifiants et le vol d’informations sensibles pour des activités de reconnaissance.
BeyondTrust Remote Support : vulnérabilité CVE-2026-102764 et correctif
La faille critique, référencée CVE-2026-102764, concerne des composants internes de Remote Support incapables de confirmer l’origine d’un message, ce qui, dans certaines circonstances, permet à un attaquant d’effectuer des opérations sur les fichiers d’un appareil affecté. BeyondTrust a publié un correctif le 9 octobre ; celui-ci a été envoyé automatiquement aux clients SaaS. Les clients auto-hébergés doivent effectuer immédiatement une mise à niveau manuelle s’ils ne sont pas inscrits aux mises à jour automatiques.
La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté CVE-2026-102764 à son catalogue Known Exploited Vulnerabilities. Les agences du Federal Civilian Executive Branch disposent d’un délai jusqu’à lundi pour atténuer leurs systèmes.
Découverte et chronologie
L’activité malveillante a été découverte fin septembre lorsque Mandiant, la branche d’intervention en cas d’incident de GTIG, enquêtait sur un zero-day visant des dispositifs edge chez un autre fournisseur. Mandiant a alerté BeyondTrust, qui a identifié une instance SaaS affectée ; l’exploitation a été retracée jusqu’à la fin août. GTIG indique n’avoir identifié qu’un petit nombre d’organisations touchées pour l’instant, mais souligne que la discrétion de l’activité et l’usage d’un zero-day laissent la possibilité d’autres compromissions antérieures.
Acteur, mode opératoire et outils déployés
L’attaquant, suivi sous le nom Armory Castle et précédemment catalogué UNC5221, est un acteur d’espionnage connu pour viser cabinets juridiques, administrations, entreprises technologiques, éditeurs SaaS et sous-traitants de processus métier. CrowdStrike suit ce groupe sous l’appellation Warp Panda. Mandiant indique que l’acteur est actif depuis 2023 et l’avait déjà suivi dans une campagne exploitant CVE-2025-22457 contre Ivanti Connect Secure.
Sur l’instance compromise, l’attaquant a obtenu un accès root, a extrait l’ensemble des identifiants stockés sur l’appliance et a utilisé l’accès administratif de l’outil de support pour récupérer des secrets et télécharger des fichiers via le service natif de transfert de fichiers de BeyondTrust. Des malwares sur mesure ont été déployés, notamment une web shell PHP nommée Sawfly (assurant une communication chiffrée avec un serveur de commande et contrôle) et un tunneleur SOCKS5 personnalisé appelé Bareclaw. L’acteur a ciblé la base de données de gestion des secrets de l’appliance pour récolter des identifiants, a progressé latéralement pour obtenir des privilèges administratifs, puis a accédé et exfiltré des fichiers pour la reconnaissance.
Recommandations et mesures à prendre
BeyondTrust conseille de réduire l’exposition en limitant l’accès aux interfaces administratives aux réseaux de confiance et de transmettre les journaux système des appliances et les événements de session vers une solution SIEM, car l’acteur a effacé des traces dans des attaques antérieures. CISA a publié un avis demandant aux clients d’appliquer immédiatement le correctif. Le correctif concerne la version 26.2.3 de BeyondTrust Remote Support ; la mise à jour n’est applicable que pour les versions prises en charge 24.3.1 et ultérieures. Les clients auto-hébergés utilisant des versions antérieures doivent d’abord migrer vers une version prise en charge avant d’appliquer le correctif.
Kelli Vanderlee, analyste principale chez GTIG, a souligné que, malgré le faible nombre d’organisations identifiées comme impactées, la combinaison d’un zero-day et de l’activité discrète rend possible d’autres compromissions. Justin Moore, directeur des opérations adverses chez Arctic Wolf, a rappelé que les technologies d’accès à distance et edge représentent des cibles de choix pour les opérateurs étatiques en raison de leur position à la frontière du SI et des accès privilégiés qu’elles offrent.
