Chińska grupa APT powiązana z Armory Castle (znana również jako UNC5221 lub Warp Panda) wykorzystywała lukę zero-day w rozwiązaniach BeyondTrust Remote Support (RS) do prowadzenia operacji szpiegowskich. Podatność CVE-2026-102764, o krytycznym wskaźniku CVSS 9.3, wynikała z niewłaściwej walidacji pochodzenia komunikatów, co pozwalało atakującym na wykonywanie operacji na plikach na urządzeniach RS.
Po uzyskaniu wstępnego dostępu, napastnicy instalowali webshell Sawfly oraz tunelujący narzędzie Bareclaw. Dzięki temu przejmowali uprawnienia roota, kradli poświadczenia i systematycznie usuwali logi systemowe oraz aplikacyjne, aby zatrzeć ślady. Atakujący wykorzystywali również wbudowane narzędzia wsparcia BeyondTrust do eksfiltracji wrażliwych dokumentów i rozpoznania sieci.
Problem dotyczy wszystkich wersji Remote Support do 26.2.3 włącznie. BeyondTrust wydało poprawki w ramach łaty BT26-05-RS dla wersji od 24.3.1 do 26.2.3. Użytkownicy starszych wersji powinni najpierw zaktualizować oprogramowanie do wersji 24.3.1 lub nowszej, a następnie zastosować odpowiednią łatkę. Klienci korzystający z modelu SaaS otrzymali poprawki automatycznie, natomiast użytkownicy wersji self-hosted muszą wdrożyć je ręcznie.
