ARMORY CASTLE et la Fenêtre de 27 Minutes : Les Leçons de la Faille Zero Day de BeyondTrust

Le 15 octobre 2026, BeyondTrust et le Threat Intelligence Group de Google ont révélé un fait qui devrait attirer l’attention de tout responsable de la sécurité ayant approuvé l’usage d’un outil de support à distance pour l’informatique : un groupe d’espionnage présumé lié à la Chine s’était discrètement installé dans un petit nombre d’appliances Remote Support depuis la fin du mois d’août, en exploitant une vulnérabilité jusque là inconnue qui lui permettait de lire tous les identifiants stockés sur l’appliance et de progresser plus profondément dans les réseaux que celle ci était chargée de gérer. La CISA a ajouté cette faille à son catalogue des vulnérabilités activement exploitées dès le lendemain.

Ce n’est pas une histoire générique de plus sur « corrigez maintenant ». C’est une étude de cas sur les raisons pour lesquelles les outils d’accès à distance privilégié méritent un niveau de vigilance différent du reste de l’infrastructure technologique.

Ce qui s’est passé

La vulnérabilité, répertoriée sous le nom CVE-2026-102764, affiche un score CVSS v4.0 de 9,3. La faille elle même paraît presque banale dans sa description : un composant de messagerie interne de BeyondTrust Remote Support ne vérifiait pas correctement l’origine des messages reçus, ce qui permettait à un attaquant distant et non authentifié d’effectuer des opérations sur les fichiers de l’appliance. Dans les faits, cela s’est traduit par une compromission totale.

Le Threat Intelligence Group de Google et Mandiant attribuent cette exploitation, avec une confiance modérée à élevée, à un acteur soutenu par un État qu’ils nomment ARMORY CASTLE, précédemment suivi sous le nom UNC5221 et connu chez CrowdStrike comme WARP PANDA. Il ne s’agit pas d’un nouveau groupe. Ces dernières années, il a exploité des failles zero day dans Citrix NetScaler et dans plusieurs produits Ivanti Connect Secure, et il a été associé à la campagne de la porte dérobée BRICKSTORM, qui visait des cabinets juridiques, des fournisseurs SaaS et des entreprises technologiques. Le schéma reste constant : cet acteur cible les appliances de périmètre et d’accès à distance situées entre internet et les systèmes internes les plus sensibles d’une organisation, et privilégie la collecte de renseignement à long terme plutôt qu’un gain financier rapide.

Une fois à l’intérieur, la chaîne d’intrusion s’est révélée méthodique. L’acteur a déployé un shell web personnalisé, désormais nommé Sawfly, directement sur le serveur web existant de l’appliance pour assurer un commandement et un contrôle chiffrés, ainsi qu’un outil de tunnel SOCKS5 nommé Bareclaw pour faire transiter le trafic à travers le système compromis tout en se mêlant à l’activité légitime. Il s’est connecté via des sorties VPN commerciales et des routeurs domestiques compromis afin de masquer son origine. En quelques minutes, il a obtenu un contrôle administratif complet, installé une persistance conçue pour survivre à un redémarrage, lu chaque identifiant stocké dans la base de secrets de l’appliance, puis utilisé cet accès pour atteindre des systèmes en aval. Avant de partir, il a supprimé les journaux ainsi que ses propres outils.

L’exploitation a débuté vers le 29 août 2026. Les équipes de chasse aux menaces de BeyondTrust ont elles mêmes détecté l’intrusion sur sa plateforme SaaS à la fin du mois de septembre et l’ont confinée en 27 minutes après la détection. Un correctif, identifié BT26-05, a été déployé automatiquement à tous les clients SaaS d’ici le 9 octobre. Les clients disposant d’installations autogérées doivent l’appliquer manuellement, sauf si les mises à jour automatiques sont activées, et ceux qui utilisent une version antérieure à la 24.3.1 doivent d’abord effectuer une mise à niveau avant de pouvoir appliquer le correctif.

Au moment de la divulgation publique, BeyondTrust déclare n’avoir connaissance que de deux clients confirmés comme touchés. Kelli Vanderlee, du Threat Intelligence Group de Google, l’a exprimé sans détour : son équipe n’a connaissance pour l’instant que d’un petit nombre d’organisations touchées, tout en reconnaissant que des compromissions supplémentaires survenues avant la divulgation ne peuvent être exclues. Il est raisonnable de penser que le nombre d’organisations en train de vérifier leurs journaux a considérablement augmenté dès que cette affaire est devenue publique.

Pourquoi cette histoire dépasse un simple CVE

Trois éléments de cette campagne méritent l’attention d’un RSSI au delà de la tâche immédiate de correction.

1. Premièrement, la cible. Les outils de support à distance existent pour accorder à un fournisseur ou à une équipe informatique interne un accès large et fiable à l’environnement d’une organisation, souvent avec des droits administratifs par conception. C’est précisément ce qui les rend attrayants pour un acteur d’espionnage patient. Un ordinateur portable compromis donne à un attaquant l’accès d’une seule personne. Une appliance de support à distance compromise peut donner à un attaquant les clés de tout ce que cette appliance était conçue pour atteindre, ainsi que chaque identifiant qu’elle stockait pour rendre cet accès plus pratique.
2. Deuxièmement, le schéma. Il s’agit du même acteur qui avait déjà transformé un correctif fournisseur d’Ivanti, destiné à une faille que le fournisseur lui même jugeait peu risquée, en un exploit fonctionnel d’exécution de code à distance contre des systèmes non corrigés. Il a l’habitude avérée d’utiliser une faille zero day de manière sélective contre une poignée de cibles choisies, avant de passer à une exploitation opportuniste plus large une fois la technique rendue publique. Cette seconde vague est souvent celle qui surprend les organisations ayant présumé qu’elles n’étaient pas suffisamment intéressantes pour être une cible initiale.
3. Troisièmement, le résultat qui a réellement fonctionné. Le détail de cette histoire qui mérite davantage d’attention qu’il n’en reçoit est la fenêtre de 27 minutes entre la détection et le confinement sur la propre plateforme SaaS de BeyondTrust. Ce n’est pas une histoire de correctif. C’est une histoire de chasse aux menaces et d’ingénierie de détection. Les organisations qui considèrent les avis des fournisseurs comme le seul signal dont elles ont besoin manqueront les intrusions qui se produisent entre deux divulgations, car des acteurs sophistiqués comptent précisément sur cet écart.

Ce que cela signifie pour votre programme

Quelques pistes concrètes à soulever lors de votre prochaine réunion de direction sur la sécurité :

Dressez l’inventaire de chaque outil d’accès et de support à distance avec la même rigueur que celle appliquée à vos pare feux périmétriques. Si vous ne pouvez pas répondre rapidement à la question de savoir quels outils d’accès à distance de fournisseurs sont déployés dans votre environnement, dans quelles versions, et si les mises à jour automatiques sont activées, c’est une lacune qu’il vaut la peine de combler ce trimestre, pas l’année prochaine.

Ne considérez pas un correctif comme la fin de la réponse. Les propres recommandations de Mandiant valent la peine d’être répétées : toute appliance vulnérable accessible depuis internet doit être traitée comme potentiellement compromise jusqu’à ce qu’elle ait réellement été examinée, et pas seulement mise à jour. Corriger ferme la porte. Cela ne vous dit pas si quelqu’un est déjà passé par là.

Construisez vos capacités de détection autour des appliances qui concentrent le plus de confiance, et pas seulement celles qui sont les plus faciles à surveiller. Les appliances disposant de la portée administrative la plus étendue dans votre environnement sont celles qui méritent le plus un envoi dédié des journaux vers un SIEM et une chasse active aux menaces, précisément parce qu’elles sont les appliances qu’un acteur sophistiqué est le plus susceptible de viser.

Présumez que cet acteur spécifique, ou un acteur similaire, tentera le même scénario contre le prochain fournisseur d’accès à distance. Citrix, Ivanti, maintenant BeyondTrust. Le schéma est suffisamment établi pour qu’il influence la façon dont vous hiérarchisez les revues de risque fournisseurs et les cycles de test de correctifs pour tout produit de cette catégorie, pas seulement celui qui fait les gros titres cette semaine.

C’est exactement le type de scénario que le travail d’équipe rouge et de tests d’intrusion continus d’Orenda est conçu pour révéler avant qu’un acteur comme ARMORY CASTLE ne le découvre en premier. La simulation d’adversaire contre les chemins d’accès à distance privilégiés, combinée à une gestion continue des vulnérabilités qui détecte un avis fournisseur le jour même de sa publication plutôt qu’au prochain contrôle programmé, est ce qui transforme une histoire comme celle ci en un non événement plutôt qu’en une notification de violation.

L’appliance qui facilite le travail de votre service d’assistance est, par conception, l’un des systèmes les plus fiables de votre réseau. Cette confiance est précisément la raison pour laquelle un acteur soutenu par un État a passé un mois et demi à s’y installer discrètement. Il vaut la peine de se demander cette semaine si votre organisation l’aurait détecté en 27 minutes, ou en six semaines.