Google ostrzega przed aktywnością grupy Armory Castle, która jest podejrzewana o powiązania z chińskim wywiadem. Atakujący wykorzystują krytyczną podatność CVE-2026-102764 w rozwiązaniach BeyondTrust Remote Support, aby uzyskać dostęp do systemów i utrzymać w nich stałą obecność.
Po wykorzystaniu luki napastnicy stosują zaawansowane techniki post-eksploatacji, takie jak instalacja webshella Sawfly do komunikacji C2 oraz eskalacja uprawnień do poziomu root poprzez manipulację plikami systemowymi i nadawanie uprawnień SUID. Wykorzystują oni również natywne narzędzia CLI BeyondTrust do kradzieży poświadczeń z baz danych zarządzających sekretami.
Atakujący dążą do pełnej kontroli nad urządzeniem, co pozwala im na modyfikację konfiguracji, kradzież haseł i API oraz lateral movement wewnątrz sieci ofiary. Aby uniknąć wykrycia, systematycznie usuwają logi systemowe i serwerowe. Google zaleca natychmiastowe stosowanie poprawek oraz wdrożenie dodatkowych środków ochronnych, takich jak ograniczenie ruchu sieciowego i rotacja poświadczeń.
