Le 15 octobre 2026, BeyondTrust et le Threat Intelligence Group de Google ont r\u00e9v\u00e9l\u00e9 un fait qui devrait attirer l’attention de tout responsable de la s\u00e9curit\u00e9 ayant approuv\u00e9 l’usage d’un outil de support \u00e0 distance pour l’informatique : un groupe d’espionnage pr\u00e9sum\u00e9 li\u00e9 \u00e0 la Chine s’\u00e9tait discr\u00e8tement install\u00e9 dans un petit nombre d’appliances Remote Support depuis la fin du mois d’ao\u00fbt, en exploitant une vuln\u00e9rabilit\u00e9 jusque l\u00e0 inconnue qui lui permettait de lire tous les identifiants stock\u00e9s sur l’appliance et de progresser plus profond\u00e9ment dans les r\u00e9seaux que celle ci \u00e9tait charg\u00e9e de g\u00e9rer. La CISA a ajout\u00e9 cette faille \u00e0 son catalogue des vuln\u00e9rabilit\u00e9s activement exploit\u00e9es d\u00e8s le lendemain.<\/p>\n
Ce n’est pas une histoire g\u00e9n\u00e9rique de plus sur \u00ab\u00a0corrigez maintenant\u00a0\u00bb. C’est une \u00e9tude de cas sur les raisons pour lesquelles les outils d’acc\u00e8s \u00e0 distance privil\u00e9gi\u00e9 m\u00e9ritent un niveau de vigilance diff\u00e9rent du reste de l’infrastructure technologique.<\/p>\n
La vuln\u00e9rabilit\u00e9, r\u00e9pertori\u00e9e sous le nom CVE-2026-102764, affiche un score CVSS v4.0 de 9,3. La faille elle m\u00eame para\u00eet presque banale dans sa description : un composant de messagerie interne de BeyondTrust Remote Support ne v\u00e9rifiait pas correctement l’origine des messages re\u00e7us, ce qui permettait \u00e0 un attaquant distant et non authentifi\u00e9 d’effectuer des op\u00e9rations sur les fichiers de l’appliance. Dans les faits, cela s’est traduit par une compromission totale.<\/p>\n
Le Threat Intelligence Group de Google et Mandiant attribuent cette exploitation, avec une confiance mod\u00e9r\u00e9e \u00e0 \u00e9lev\u00e9e, \u00e0 un acteur soutenu par un \u00c9tat qu’ils nomment ARMORY CASTLE, pr\u00e9c\u00e9demment suivi sous le nom UNC5221 et connu chez CrowdStrike comme WARP PANDA. Il ne s’agit pas d’un nouveau groupe. Ces derni\u00e8res ann\u00e9es, il a exploit\u00e9 des failles zero day dans Citrix NetScaler et dans plusieurs produits Ivanti Connect Secure, et il a \u00e9t\u00e9 associ\u00e9 \u00e0 la campagne de la porte d\u00e9rob\u00e9e BRICKSTORM, qui visait des cabinets juridiques, des fournisseurs SaaS et des entreprises technologiques. Le sch\u00e9ma reste constant : cet acteur cible les appliances de p\u00e9rim\u00e8tre et d’acc\u00e8s \u00e0 distance situ\u00e9es entre internet et les syst\u00e8mes internes les plus sensibles d’une organisation, et privil\u00e9gie la collecte de renseignement \u00e0 long terme plut\u00f4t qu’un gain financier rapide.<\/p>\n
Une fois \u00e0 l’int\u00e9rieur, la cha\u00eene d’intrusion s’est r\u00e9v\u00e9l\u00e9e m\u00e9thodique. L’acteur a d\u00e9ploy\u00e9 un shell web personnalis\u00e9, d\u00e9sormais nomm\u00e9 Sawfly, directement sur le serveur web existant de l’appliance pour assurer un commandement et un contr\u00f4le chiffr\u00e9s, ainsi qu’un outil de tunnel SOCKS5 nomm\u00e9 Bareclaw pour faire transiter le trafic \u00e0 travers le syst\u00e8me compromis tout en se m\u00ealant \u00e0 l’activit\u00e9 l\u00e9gitime. Il s’est connect\u00e9 via des sorties VPN commerciales et des routeurs domestiques compromis afin de masquer son origine. En quelques minutes, il a obtenu un contr\u00f4le administratif complet, install\u00e9 une persistance con\u00e7ue pour survivre \u00e0 un red\u00e9marrage, lu chaque identifiant stock\u00e9 dans la base de secrets de l’appliance, puis utilis\u00e9 cet acc\u00e8s pour atteindre des syst\u00e8mes en aval. Avant de partir, il a supprim\u00e9 les journaux ainsi que ses propres outils.<\/p>\n
L’exploitation a d\u00e9but\u00e9 vers le 29 ao\u00fbt 2026. Les \u00e9quipes de chasse aux menaces de BeyondTrust ont elles m\u00eames d\u00e9tect\u00e9 l’intrusion sur sa plateforme SaaS \u00e0 la fin du mois de septembre et l’ont confin\u00e9e en 27 minutes apr\u00e8s la d\u00e9tection. Un correctif, identifi\u00e9 BT26-05, a \u00e9t\u00e9 d\u00e9ploy\u00e9 automatiquement \u00e0 tous les clients SaaS d’ici le 9 octobre. Les clients disposant d’installations autog\u00e9r\u00e9es doivent l’appliquer manuellement, sauf si les mises \u00e0 jour automatiques sont activ\u00e9es, et ceux qui utilisent une version ant\u00e9rieure \u00e0 la 24.3.1 doivent d’abord effectuer une mise \u00e0 niveau avant de pouvoir appliquer le correctif.<\/p>\n
Au moment de la divulgation publique, BeyondTrust d\u00e9clare n’avoir connaissance que de deux clients confirm\u00e9s comme touch\u00e9s. Kelli Vanderlee, du Threat Intelligence Group de Google, l’a exprim\u00e9 sans d\u00e9tour : son \u00e9quipe n’a connaissance pour l’instant que d’un petit nombre d’organisations touch\u00e9es, tout en reconnaissant que des compromissions suppl\u00e9mentaires survenues avant la divulgation ne peuvent \u00eatre exclues. Il est raisonnable de penser que le nombre d’organisations en train de v\u00e9rifier leurs journaux a consid\u00e9rablement augment\u00e9 d\u00e8s que cette affaire est devenue publique.<\/p>\n
Trois \u00e9l\u00e9ments de cette campagne m\u00e9ritent l’attention d’un RSSI au del\u00e0 de la t\u00e2che imm\u00e9diate de correction.<\/p>\n
Quelques pistes concr\u00e8tes \u00e0 soulever lors de votre prochaine r\u00e9union de direction sur la s\u00e9curit\u00e9 :<\/p>\n
Dressez l’inventaire de chaque outil d’acc\u00e8s et de support \u00e0 distance avec la m\u00eame rigueur que celle appliqu\u00e9e \u00e0 vos pare feux p\u00e9rim\u00e9triques.<\/strong> Si vous ne pouvez pas r\u00e9pondre rapidement \u00e0 la question de savoir quels outils d’acc\u00e8s \u00e0 distance de fournisseurs sont d\u00e9ploy\u00e9s dans votre environnement, dans quelles versions, et si les mises \u00e0 jour automatiques sont activ\u00e9es, c’est une lacune qu’il vaut la peine de combler ce trimestre, pas l’ann\u00e9e prochaine.<\/p>\n Ne consid\u00e9rez pas un correctif comme la fin de la r\u00e9ponse.<\/strong> Les propres recommandations de Mandiant valent la peine d’\u00eatre r\u00e9p\u00e9t\u00e9es : toute appliance vuln\u00e9rable accessible depuis internet doit \u00eatre trait\u00e9e comme potentiellement compromise jusqu’\u00e0 ce qu’elle ait r\u00e9ellement \u00e9t\u00e9 examin\u00e9e, et pas seulement mise \u00e0 jour. Corriger ferme la porte. Cela ne vous dit pas si quelqu’un est d\u00e9j\u00e0 pass\u00e9 par l\u00e0.<\/p>\n Construisez vos capacit\u00e9s de d\u00e9tection autour des appliances qui concentrent le plus de confiance, et pas seulement celles qui sont les plus faciles \u00e0 surveiller.<\/strong> Les appliances disposant de la port\u00e9e administrative la plus \u00e9tendue dans votre environnement sont celles qui m\u00e9ritent le plus un envoi d\u00e9di\u00e9 des journaux vers un SIEM et une chasse active aux menaces, pr\u00e9cis\u00e9ment parce qu’elles sont les appliances qu’un acteur sophistiqu\u00e9 est le plus susceptible de viser.<\/p>\n Pr\u00e9sumez que cet acteur sp\u00e9cifique, ou un acteur similaire, tentera le m\u00eame sc\u00e9nario contre le prochain fournisseur d’acc\u00e8s \u00e0 distance.<\/strong> Citrix, Ivanti, maintenant BeyondTrust. Le sch\u00e9ma est suffisamment \u00e9tabli pour qu’il influence la fa\u00e7on dont vous hi\u00e9rarchisez les revues de risque fournisseurs et les cycles de test de correctifs pour tout produit de cette cat\u00e9gorie, pas seulement celui qui fait les gros titres cette semaine.<\/p>\n C’est exactement le type de sc\u00e9nario que le travail d’\u00e9quipe rouge et de tests d’intrusion continus d’Orenda est con\u00e7u pour r\u00e9v\u00e9ler avant qu’un acteur comme ARMORY CASTLE ne le d\u00e9couvre en premier. La simulation d’adversaire contre les chemins d’acc\u00e8s \u00e0 distance privil\u00e9gi\u00e9s, combin\u00e9e \u00e0 une gestion continue des vuln\u00e9rabilit\u00e9s qui d\u00e9tecte un avis fournisseur le jour m\u00eame de sa publication plut\u00f4t qu’au prochain contr\u00f4le programm\u00e9, est ce qui transforme une histoire comme celle ci en un non \u00e9v\u00e9nement plut\u00f4t qu’en une notification de violation.<\/p>\n L’appliance qui facilite le travail de votre service d’assistance est, par conception, l’un des syst\u00e8mes les plus fiables de votre r\u00e9seau. Cette confiance est pr\u00e9cis\u00e9ment la raison pour laquelle un acteur soutenu par un \u00c9tat a pass\u00e9 un mois et demi \u00e0 s’y installer discr\u00e8tement. Il vaut la peine de se demander cette semaine si votre organisation l’aurait d\u00e9tect\u00e9 en 27 minutes, ou en six semaines.<\/p>\n","protected":false},"excerpt":{"rendered":" Le 15 octobre 2026, BeyondTrust et le Threat Intelligence Group de Google ont r\u00e9v\u00e9l\u00e9 un fait qui devrait attirer l’attention de tout responsable de la s\u00e9curit\u00e9 ayant approuv\u00e9 l’usage d’un outil de support \u00e0 distance pour l’informatique : un groupe d’espionnage pr\u00e9sum\u00e9 li\u00e9 \u00e0 la Chine s’\u00e9tait discr\u00e8tement install\u00e9 dans un petit nombre d’appliances Remote […]<\/p>\n","protected":false},"author":1,"featured_media":3909,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[37,42],"tags":[],"class_list":["post-3921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-meilleurs-pratiques","category-securite-de-linformation","has-post-title","has-post-date","has-post-category","has-post-tag","has-post-comment","has-post-author",""],"yoast_head":"\n