Китайская APT с августа нацелилась на уязвимость BeyondTrust в качестве 0-day для получения первоначального доступа в рамках своих шпионских кампаний. Речь идет о CVE-2026-102764 (CVSS 9,3), которая связана с некорректной проверкой происхождения сообщений, позволяя злоумышленникам выполнять файловые операции на устройствах удаленной поддержки (RS). По данным BeyondTrust, проблема затрагивает все версии RS до 26.2.3 включительно. Исправления ошибки включены в патч BT26-05-RS для версий с 24.3.1 по 26.2.3. Пользователям версии старше 24.3.1 следует обновиться до более новой версии, а затем установить патч. BeyondTrust выявила уязвимость 28 сентября, на следующий день после того, как стало известно о её использовании. Однако первоначальная эксплуатация произошла еще 29 августа. Компания заявляет, что выпустила патч к 30 сентября, но не спешила с его тестированием и устранением дополнительных уязвимостей, прежде чем выпустить исправление 8 октября. Как передают Mandiant и Google TIG, CVE-2026-102764 была использована в качестве 0-day Armory Castle, связанной с Китаем группировкой, также известной как UNC5221 и Warp Panda. Armory Castle специализируется на долгосрочным сбором развединформации и известна своими атаками на поставщиков SaaS-услуг, технологические компании, госструктуры, юридические фирмы и компании в сфере аутсорсинга бизнес-процессов. Mandiant и GTIG фиксировали, как APT атаковала устройство BeyondTrust для получения первоначального доступа, развернула веб-оболочку Sawfly и туннелер Bareclaw для взаимодействия с устройством, повысила привилегии и перемещалась по скомпрометированной среде. Sawfly, легковесная PHP-оболочка, обладающая возможностями двунаправленной зашифрованной связи между командами и контроллерами (C2), является основным плацдармом для злоумышленников в этой среде. После развертывания веб-оболочки Armory Castle получила права root на хосте устройства, собрала учетные данные, получила беспарольные права root для учетной записи службы сайта и систематически удаляла системные журналы, журналы веб-сервера и приложений. Затем злоумышленники переключились на приложение RS, используя скомпрометированные учетные данные администратора, изменили права доступа учетной записи, чтобы получить контроль над удаленными системами, и начали атаковать внутренние конечные точки. Злоумышленник использовал встроенные в устройство инструменты поддержки для запроса и получения полного доступа к файловой системе. Он применил встроенную службу передачи файлов BeyondTrust Remote Support для загрузки и извлечения конфиденциальных внутренних документов, полезных для сетевой разведки, включая инвентаризацию программного обеспечения, непосредственно с рабочего стола пользователя. Кроме того, было замечено, что злоумышленник использовал собственный туннелер SOCKS5 Bareclaw, который поддерживает шифрование данных, перенаправление трафика на вышестоящий прокси-сервер, аутентификацию и другие функции. Ранее GTIG наблюдала об использовании Armory Castle многочисленных уязвимостей в периферийных устройствах и применение обширного набора специализированных инструментов для достижения своих целей, начиная от пассивных бэкдоров и веб-оболочек и заканчивая троянизированными компонентами периферийных устройств. Armory Castle начала свою деятельность еще в октябре 2023 и в ходе своих операций атаковала широкий круг стран и отраслей. Ранее злоумышленник успешно препарировал нули в Citrix NetScaler (CVE-2023-4966, также известной как CitrixBleed), Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282) и Dell RecoverPoint for Virtual Machines (CVE-2026-22769).