Les clients de BeyondTrust ont plus qu’un simple problème de mise à jour à résoudre. Un groupe d’espionnage soupçonné d’être lié à la Chine a exploité comme faille zero-day une vulnérabilité critique de Remote Support, avant d’obtenir un accès root, de tenter de récupérer les identifiants stockés et d’accéder à des systèmes en aval, selon Mandiant.
Google a averti qu’ARMORY CASTLE avait exploité CVE-2026-102764 fin août et que les attaques pourraient s’étendre maintenant que la faille est publique. BeyondTrust classe la vulnérabilité comme critique, avec une note de 9,3, et indique que les versions 26.2.3 et antérieures de Remote Support sont concernées. Les clients SaaS ont été corrigés au plus tard le 9 octobre, tandis que les clients auto-hébergés doivent vérifier que BT26-05-RS a été installé.
Des hackers liés à la Chine ont transformé le support à distance en accès root
Reuters a rapporté que Google et Mandiant avaient rattaché l’exploitation d’août à ARMORY CASTLE, un groupe de cybermenace soupçonné d’être lié à la Chine. L’exploitation réussie a donné aux attaquants accès aux identifiants, leur a permis d’envoyer des fichiers arbitraires et leur a ouvert la voie vers le contrôle de l’hôte concerné.
The Hacker News, citant Mandiant, a rapporté que les attaquants avaient déployé le webshell PHP SAWFLY et élevé leurs privilèges jusqu’à root. Ils ont également tenté de récupérer des identifiants dans la base de données native de secrets de BeyondTrust et modifié les autorisations de Remote Support pour accéder aux systèmes en aval. Les attaquants ont ensuite déployé le tunnelier BARECLAW et supprimé les journaux système, de serveur web et d’application afin de compliquer leur détection.
Pour les défenseurs, le problème ne se limite pas à l’appliance elle-même. Remote Support est conçu pour donner aux administrateurs accès à d’autres terminaux ; un serveur compromis peut donc devenir une porte d’entrée vers des systèmes déjà approuvés par l’organisation.
CVE-2026-102764 affecte Remote Support 26.2.3 et les versions antérieures
BeyondTrust a indiqué que CVE-2026-102764 était une faille de validation incorrecte de l’origine dans un composant de messagerie interne. Dans certaines conditions, un attaquant distant peut l’exploiter pour effectuer des opérations sur les fichiers d’une appliance concernée. L’entreprise classe la vulnérabilité comme critique, avec un score CVSS v4.0 de 9,3.
Toutes les versions de Remote Support jusqu’à la 26.2.3 sont concernées. BeyondTrust a indiqué avoir appliqué le correctif à tous les clients SaaS au plus tard le 9 octobre. Les clients auto-hébergés exécutant des versions comprises entre 24.3.1 et 26.2.3 doivent appliquer BT26-05-RS ou vérifier que les mises à jour automatiques l’ont installé. Les clients utilisant des versions plus anciennes doivent effectuer une mise à niveau avant d’appliquer le correctif.
BeyondTrust recommande également, par précaution, d’appliquer un correctif aux appliances Privileged Remote Access auto-hébergées, car elles partagent du code concerné. L’entreprise a indiqué que les tests n’avaient pas permis d’identifier de moyen d’exploiter la vulnérabilité dans ce produit
L’application du correctif n’est que la première étape
Google a averti que la divulgation publique pourrait entraîner une exploitation opportuniste plus large, faisant des appliances BeyondTrust exposées des cibles prioritaires.
Infosecurity Magazine a noté que les organisations soupçonnant une exposition devraient préserver les données de télémétrie avant toute modification et pourraient devoir reconstruire les appliances lorsqu’une compromission est confirmée ou ne peut être exclue.
Pour les équipes de sécurité, l’installation de BT26-05-RS corrige la vulnérabilité, mais n’annule pas les activités qui ont pu avoir lieu auparavant.
ARMORY CASTLE a démontré que les attaquants pouvaient utiliser une appliance Remote Support compromise pour obtenir des identifiants privilégiés, assurer leur persistance et atteindre les systèmes gérés via la plateforme. Une organisation doit donc déterminer si l’appliance a été exploitée avant l’installation du correctif.
Les équipes de sécurité doivent donner la priorité à trois actions :
- Vérifier l’état des correctifs : Confirmez que les appliances Remote Support auto-hébergées ont reçu BT26-05-RS. Les systèmes exécutant des versions antérieures à la 24.3.1 doivent être mis à niveau avant que le correctif puisse être appliqué.
- Rechercher les signes de compromission : Examinez les changements de privilèges, les journaux manquants, les paramètres de proxy ou de démarrage modifiés, les autorisations d’administrateur suspectes ainsi que les signes de SAWFLY ou de BARECLAW. Les équipes doivent également vérifier si des sessions distantes ou des transferts de fichiers inattendus ont eu lieu.
- Isoler les systèmes concernés : Limitez le trafic de l’appliance, mettez fin aux sessions de support actives, faites tourner les identifiants exposés et reconstruisez le système à partir d’une image saine et corrigée lorsqu’une compromission est confirmée ou ne peut être exclue.
Le risque peut s’étendre au-delà de l’appliance Remote Support elle-même. Le produit peut servir d’intermédiaire pour fournir un accès privilégié à d’autres terminaux ; des identifiants volés ou un accès administrateur persistant pourraient donc donner aux attaquants un chemin vers d’autres systèmes, même après l’application du correctif de la vulnérabilité initiale.
Pour les organisations dont une appliance exposée à Internet exécutait une version concernée pendant la période d’exploitation, la réponse la plus prudente consiste à traiter séparément l’application du correctif et l’évaluation de la compromission. Confirmez d’abord la correction, puis déterminez si les attaquants ont obtenu un accès avant son installation et si les identifiants, les sessions ou les systèmes en aval nécessitent également une remédiation.
À lire aussi : Les campagnes d’espionnage liées à la Chine ciblent également les gouvernements à travers l’Asie. Cisco Talos a attribué UAT-11587 à une opération de onze mois utilisant la porte dérobée Antino, une infrastructure cloud et Microsoft 365 pour le contrôle et la commande.