BeyondTrust : la faille était exploitée en secret depuis fin août, corriger ne suffit plus

Des requêtes envoyées sans le moindre mot de passe vers un fichier PHP. Onze minutes plus tard, un « web shell », une porte dérobée cachée dans une page web, apparaît sur le serveur. C'est ainsi que, selon Mandiant, des attaquants ont pris pied dans des boîtiers BeyondTrust Remote Support, l'outil d'assistance à distance qu'utilisent de nombreux services informatiques pour prendre la main sur les postes de travail.

Le 15 octobre, BeyondTrust a rendu publique la faille CVE-2026-102764. Le même jour, le Google Threat Intelligence Group (dont fait partie Mandiant) a publié son enquête : la faille était exploitée comme « zero-day », c'est-à-dire avant tout correctif, depuis fin août 2026. Elle touche toutes les versions supportées de Remote Support jusqu'à la 26.2.3. Le correctif, baptisé BT26-05, a été appliqué aux clients en mode SaaS (service hébergé) début octobre : le 8 selon BleepingComputer, le 9 selon Mandiant. Les installations hébergées par les clients doivent être corrigées à la main si les mises à jour automatiques sont désactivées.

Qui est derrière, et qu'a-t-il pris ?

Mandiant attribue ces attaques à Armory Castle, un groupe d'espionnage qu'il soupçonne d'être lié à la Chine et qu'il suivait auparavant sous le nom UNC5221. Ce groupe a déjà exploité des failles zero-day de Citrix NetScaler et d'Ivanti Connect Secure. Aucune victime ni aucun secteur n'est nommé.

Dans le cas étudié par Mandiant, les attaquants ont obtenu les droits « root » (administrateur suprême) sur le boîtier. Ils ont vidé le coffre-fort où l'appareil stocke les identifiants, installé un mécanisme de persistance qui survit aux redémarrages, puis effacé les journaux. Ils se sont ensuite connectés à la console d'administration avec un compte administrateur compromis et ont élargi les droits de ce compte sur les machines gérées. Ils ont ouvert des sessions d'assistance pour copier des documents et installé un tunnel discret, que Mandiant appelle BARECLAW.

Le problème est là : un tel boîtier détient les clés d'accès à une bonne partie du parc informatique. Selon Mandiant, la faille peut mener au contrôle de l'hôte et à « chaque identifiant que l'appareil stocke ou relaie ». La fondation Shadowserver recense plus de 1 400 instances BeyondTrust d'assistance à distance exposées sur Internet, sans préciser combien sont corrigées.

Que faire si vous utilisez Remote Support ?

Comme la faille a été exploitée pendant plus d'un mois sans être connue, appliquer le correctif ne suffit pas. Mandiant recommande les mesures suivantes :

• Corriger d'abord : appliquer BT26-05 (BT26-05-RS pour les installations hébergées par le client). En dessous de la version 24.3.1, il faut d'abord passer à une version supportée. Mandiant prévient que la mise à jour ferme la faille mais ne répare pas une compromission antérieure.
• Considérer comme potentiellement compromis tout boîtier joignable depuis Internet et resté vulnérable pendant la période d'exploitation, jusqu'à vérification.
• Conserver les preuves (instantanés de machine virtuelle, journaux du pare-feu et du proxy) avant toute modification, puisque l'attaquant efface les journaux sur le boîtier.
• Reconstruire plutôt que nettoyer un boîtier compromis, à partir d'une image saine, avec un nouveau certificat TLS.
• Changer les identifiants seulement après le correctif ou la reconstruction : selon Mandiant, les changer avant exposerait les nouveaux à un attaquant encore présent.
• Vérifier les droits dans la console d'administration, en particulier les rôles soudain passés à « Administrator ».

Mandiant publie aussi des indicateurs de compromission : un fichier /usr/bin/dbus-authd appartenant à root avec le bit SUID (qui donne les droits de son propriétaire à quiconque l'exécute), un script zz-root-persist, le chemin /uidchanarge dans la configuration HAProxy (le répartiteur de charge du boîtier) et le port TCP 19800.

Une seconde vague à prévoir ?

Les outils d'accès à distance restent une cible de choix : cette semaine encore, une faille d'Ivanti Connect Secure était exploitée avant correctif. Mandiant juge possible que des tentatives d'exploitation massives suivent, car Armory Castle a l'habitude de reprendre les failles de façon opportuniste une fois qu'elles sont publiques. Les jours qui viennent diront si d'autres groupes s'en emparent.