Grupa szpiegowska powiązana z Chinami, znana jako Armory Castle, wykorzystała lukę typu zero-day w rozwiązaniu BeyondTrust Remote Support (dawniej Bomgar). Podatność CVE-2026-102764 o wysokim wskaźniku CVSS 9.3 wynika z błędnej walidacji pochodzenia komunikatów w wewnętrznym komponencie, co pozwalało na zdalne operacje na plikach.
Po uzyskaniu dostępu napastnicy instalowali web shell o nazwie SAWFLY, który służył do komunikacji z serwerem C2. Wykorzystywali oni zaawansowane techniki, takie jak nadawanie uprawnień SUID plikom systemowym, aby uzyskać uprawnienia roota, oraz próby kradzieży poświadczeń bezpośrednio z bazy danych zarządzania sekretami urządzenia.
Atakujący dążyli do pełnej kontroli nad infrastrukturą, wykorzystując własne tunele SOCKS5 (BARECLAW) oraz modyfikując konfigurację HAProxy, aby umożliwić bezpośredni dostęp do narzędzi z internetu. Ich celem było poruszanie się wewnątrz sieci i eksfiltracja wrażliwych dokumentów.
BeyondTrust zaleca użytkownikom wersji self-hosted (od 24.3.1 do 26.2.3) natychmiastową aktualizację do poprawki BT26-05-RS. Każde urządzenie wystawione na świat, które pracowało na podatnej wersji w okresie ataku, powinno być traktowane jako potencjalnie skompromitowane i poddane szczegółowej analizie.
