Wyrafinowana grupa powiązana z chińskim wywiadem, znana jako Armory Castle (UNC5221), wykorzystała podatność typu zero-day w rozwiązaniu BeyondTrust do zdalnego wsparcia. Atak ten ma na celu kradzież poświadczeń oraz wrażliwych danych biznesowych, uderzając bezpośrednio w infrastrukturę bezpieczeństwa klientów.
Napastnicy celowo wybierają narzędzia typu B2B SaaS, które stanowią fundament nowoczesnego IT, takie jak rozwiązania Ivanti, Citrix czy BeyondTrust. Dzięki kompromitacji dostawcy bezpieczeństwa, grupa zyskuje uprzywilejowany dostęp do sieci wielu organizacji jednocześnie, co działa jak mnożnik siły w operacjach szpiegowskich.
Grupa Armory Castle wykazuje dużą cierpliwość i determinację, prowadząc długofalowe kampanie mające na celu kradzież własności intelektualnej i tajemnic państwowych. W przypadku BeyondTrust, pierwsze ataki miały miejsce nawet siedem tygodni przed upublicznieniem informacji o luce, co dawało napastnikom szerokie pole do niepostrzeżonej infiltracji sieci.
