Google Cloud Blog · Google Threat Intelligence Group, Mandiant ·
ARMORY CASTLE Exploits BeyondTrust
Mandiant atribuye a ARMORY CASTLE la explotación como zero-day de una vulnerabilidad de carga arbitraria de archivos en BeyondTrust Remote Support, seguida de la instalación del webshell SAWFLY y el túnel BARECLAW. El análisis documenta cómo el actor obtuvo privilegios de root, extrajo credenciales, estableció persistencia mediante plantillas de configuración y cambios de permisos, abusó de cuentas administrativas para acceder a sistemas internos y eliminó registros para dificultar la detección. El informe incluye indicadores de compromiso y medidas para aplicar parches, preservar evidencias, reconstruir dispositivos potencialmente comprometidos, rotar credenciales y mejorar la supervisión.
ARMORY CASTLE exploited zero day vulnerabilities in BeyondTrust Remote Support appliances to establish persistent, stealthy access to compromised devices