REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Mandiant décrit une campagne associée à ARMORY CASTLE contre des appliances BeyondTrust Remote Support. Les activités rapportées montrent comment l’accès à un outil d’assistance peut être prolongé par des composants de commande, avec des tentatives de collecte d’identifiants.
Déroulement décrit par la source
- Le rapport décrit l’exploitation d’une vulnérabilité permettant le dépôt arbitraire de fichiers sur des appliances Remote Support.
- Après l’accès initial, l’opérateur déploie notamment le webshell SAWFLY et l’outil de tunnel BARECLAW.
- Mandiant observe des tentatives de collecte d’identifiants dans le coffre natif de l’appliance.
- L’opérateur modifie des modèles de configuration pour maintenir des privilèges et son accès.
- Il supprime aussi des journaux et des traces locales afin de gêner l’investigation.
Comprendre les mécanismes et les enseignements
- Une plateforme d’assistance peut concentrer des privilèges et des relations de confiance vers plusieurs systèmes. Son exposition et ses identités de gestion doivent être traitées comme un périmètre sensible, avec une séparation claire entre usages ordinaires et administration.
- La suppression de traces rend d’autant plus utile la conservation de journaux hors de l’équipement. Une investigation ne peut pas conclure à l’absence d’intrusion simplement parce que les événements locaux sont incomplets ou semblent anormalement propres.
Les vérifications défensives utiles
- Inventorier les appliances Remote Support et vérifier les avis actuels de BeyondTrust pour leurs versions et configurations. Restreindre les accès inutiles, préparer les mises à jour et conserver un moyen de reprise indépendant des services éventuellement concernés.
- Examiner les modifications des mécanismes de privilèges, des configurations de proxy et des composants web. Corréler les observations avec les journaux externes et les sessions d’administration, puis préserver les preuves avant d’engager une opération de nettoyage.
- Si des identifiants ont pu être accessibles, organiser leur renouvellement depuis un environnement sain et contrôler les systèmes rejoints via la plateforme. Prévoir une remise en confiance globale de l’appliance plutôt que le retrait isolé d’un fichier identifié.
Portée et limites
Les détails d’attribution sont ceux de Mandiant. L’état des correctifs doit être confirmé chez l’éditeur ; le dossier ne permet pas de conclure que chaque produit BeyondTrust ou chaque client du fournisseur est concerné. Les tentatives d’accès au coffre ne prouvent pas une extraction réussie de son contenu. L’utilisation d’identifiants administrateur compromis est observée, sans que leur provenance soit établie par ces tentatives.
Rapport original
ARMORY CASTLE Exploits BeyondTrust — cloud.google.com.