Hoe de Chinese spionagegroep Armory Castle een zero-day in BeyondTrust Remote Support gebruikte om stilletjes root te krijgen, credentials te stelen en zich te verschansen — en waarom deze week ook Ivanti, Cisco en Palo Alto tegelijk onder vuur lagen.
Listen to the episode →Er is iets eigenaardigs aan software die "Remote Support" heet. Bedrijven schaffen het precies aan omdat het overal bij mag: een IT-technicus die op afstand een laptop, een server of een kassasysteem moet repareren, heeft daarvoor rechten nodig die bijna niets anders in het netwerk heeft. Die eigenschap maakt dit soort tools ook tot een ideaal doelwit. Wie de tool zelf overneemt, hoeft zich niet meer stap voor stap door een netwerk te werken — hij erft meteen de sleutels die de tool al had. Dat is precies wat deze maand gebeurde met BeyondTrust Remote Support, en de details die onderzoekers van Mandiant en Google deze week vrijgaven, lezen als een handboek voor wat een goed voorbereide statelijke actor met zo'n toegang kan doen.
De aanvaller — een groep die Google en Mandiant nu Armory Castle noemen, voorheen bekend als UNC5221 of Warp Panda — misbruikte de kwetsbaarheid als zero-day op één self-hosted Remote Support-appliance op 29 augustus 2026. Daarna gebeurt er publiekelijk niets. Pas op 27 september, wanneer de uitbuiting van een kwetsbaarheid bij een andere leverancier van edge-apparatuur bekend wordt, begint BeyondTrust's eigen beveiligingsteam te zoeken naar vergelijkbare sporen in zijn eigen product. Mandiant signaleert rond diezelfde periode zelf een verdacht patroon aan BeyondTrust. Die zoektocht leidt terug naar de uitbuiting van augustus.
BeyondTrust patcht zijn cloudgehoste klanten stilletjes op 9 oktober. Op 15 oktober gaat het bedrijf, samen met Mandiant en Google Threat Intelligence Group, volledig publiek met de kwetsbaarheid, nu bekend als CVE-2026-102764 (CVSS 9,3). De dag erna voegt het Amerikaanse CISA de kwetsbaarheid toe aan zijn Known Exploited Vulnerabilities-catalogus en geeft federale instanties tot 19 oktober — drie dagen — om te patchen. Dat is ongewoon kort, zelfs voor CISA, en een signaal van hoe ernstig de dienst dit inschat.
De kwetsbaarheid zelf zit in een interne messaging-component van de Remote Support-appliance die de oorsprong van binnenkomende berichten niet goed controleerde. Onder de juiste omstandigheden kon een aanvaller daarmee bestandsoperaties uitvoeren op het apparaat. Zelfhostende klanten die een versie tussen 24.3.1 en 26.2.3 draaien, moeten handmatig de patch BT26-05-RS toepassen; wie een oudere versie draait, moet eerst upgraden voor de patch kan worden geïnstalleerd.
Zodra de aanvallers bestanden konden schrijven, plaatsten ze binnen elf minuten een webshell die Mandiant SAWFLY noemt: een PHP-script dat alleen reageert op een verborgen, specifiek geformatteerde parameter in een HTTP-verzoek. Ontbreekt die parameter, dan antwoordt het script gewoon met een "pagina niet gevonden" en doet het verder niets — onzichtbaar voor een scanner of een geautomatiseerde crawler. Is de juiste parameter wel aanwezig, dan decodeert en ontsleutelt de webshell de meegestuurde payload met een vast ingebakken sleutel en voert de resulterende code uit.
Die webshell draait echter nog onder het beperkte serviceaccount van de appliance. Om daar root-rechten uit te persen, kopieerden de aanvallers de gewone systeemshell naar een bestand met een onschuldig klinkende naam, veranderden de eigenaar naar root en schakelden de SUID-bit in. Een programma met die bit uitgevoerd, draait altijd met de rechten van zijn eigenaar — in dit geval root — ongeacht wie het daadwerkelijk aanroept. Met die ene ingreep gingen de aanvallers van "een willekeurig laagwaardig account" naar volledige controle over het apparaat.
Vanaf daar gingen ze gericht achter de credentials aan die de appliance zelf beheert. BeyondTrust-apparaten hebben een eigen command-line tool, bt-secrets, om wachtwoorden, API-sleutels en endpoint-credentials op te slaan en op te vragen. De aanvallers probeerden methodisch enkele varianten van het commando — eerst gericht op de kluis van één specifiek klantprofiel, dan op de volledige, apparaatbrede kluis — en verwijderden daarna het logbestand dat die actie zou hebben vastgelegd.
Voor blijvende toegang plaatsten ze een script in de map die de appliance bij elke opstart automatisch uitvoert. Dat script controleert of hun eigen regel voor wachtwoordloze root-rechten al in het onderliggende configuratiesjabloon staat, en voegt die anders opnieuw toe, waarna het de appliance dwingt dat sjabloon meteen te verwerken tot een actief rechtenbestand. Zo overleeft hun toegang zowel een herstart als een handmatige configuratiereset. Daarnaast bouwden ze een eigen, in C geschreven SOCKS5-tunnel genaamd BARECLAW, die verkeer via WebSocket laat lopen om op gewoon webverkeer te lijken, en pasten ze de interne verkeersconfiguratie van de appliance aan zodat die tunnel ook vanaf het open internet bereikbaar was. Via het eigen beheerpanel van de appliance verhoogden ze bovendien stilletjes hun rechten op specifieke "Jump Items" — de individuele systemen die via de appliance op afstand bereikbaar zijn — van "geen toegang" naar "beheerder", waarmee ze zelf remote-support-sessies naar downstream klantsystemen konden opzetten en bestanden van bureaubladen konden wegsluizen. De hele tijd door verwijderden ze stelselmatig systeem- en applicatielogs om sporen te wissen.
Armory Castle is geen nieuwkomer. De groep, actief sinds oktober 2023, is gespecialiseerd in edge-apparatuur: VPN-gateways en remote-access-appliances die aan de rand van een netwerk staan. Eerder misbruikte de groep een zero-day in Citrix NetScaler en drie afzonderlijke zero-days in Ivanti Connect Secure. BeyondTrust meldde zelf dat de groep in een eerder geval een Ivanti-patch die als "laag risico" was ingeschat, bestudeerde en er zelf een werkende remote-code-execution-exploit uit afleidde voor wie nog niet had gepatcht. Het patroon is steeds hetzelfde: eerst selectief, met een zero-day, tegen een beperkt aantal zorgvuldig gekozen doelwitten — advocatenkantoren, SaaS-leveranciers, uitbestedingsbedrijven, technologiebedrijven, overheden — gericht op langdurige inlichtingenvergaring. Zodra de kwetsbaarheid publiek is, zoals nu, schakelt de groep historisch over naar brede, opportunistische uitbuiting van elk nog niet-gepatcht exemplaar.
Deze zaak staat ook niet alleen. In dezelfde week onthulde Ivanti een nieuwe zero-day in Connect Secure (CVE-2026-104935), een authenticatie-bypass waarbij kwaadwillenden ongeauthenticeerd commando's kunnen uitvoeren — CISA waarschuwde expliciet dat Ivanti's eigen detectietool die uitbuiting mogelijk niet opmerkt, omdat de kwaadaardige commando's enkel in geheugen draaien. Cisco waarschuwde voor een kritieke, actief uitgebuite kwetsbaarheid in zijn Secure Email Gateway — al de derde actief uitgebuite kwetsbaarheid in dat productlijn dit jaar — waarmee een ongeauthenticeerde aanvaller via een geprepareerde e-mailbijlage bestanden kon schrijven en code met rootrechten kon uitvoeren. Palo Alto Networks patchte een actief uitgebuite kwetsbaarheid in het beheerinterface van PAN-OS. Het Belgische CERT.be waarschuwde diezelfde week zowel voor de Palo Alto- als de Cisco-kwetsbaarheid, met de aansporing om onmiddellijk te patchen. En Microsoft bracht in diezelfde patch-dinsdag van oktober meer dan 1.400 kwetsbaarheden tegelijk uit — het grootste patchpakket ooit. Terwijl beveiligingsteams onder die stapel bijna bedolven raken, staan het net de apparaten aan de rand van het netwerk — VPN's, e-mailgateways, remote-accessappliances — die onder actieve, staatsgesponsorde druk staan.
Voor een cybersecurity-consultant is dit precies het type incident waarop je je klanten voorbereidt, en niet achteraf. Mandiant zegt het zelf met zoveel woorden: elke appliance die tijdens het uitbuitingsvenster bereikbaar was vanaf het internet, moet behandeld worden als mogelijk gecompromitteerd tot het tegendeel bewezen is — patchen alleen is dan niet genoeg, forensisch onderzoek moet eraan voorafgaan. Logs moeten continu naar een extern systeem worden doorgestuurd, niet alleen lokaal bewaard, want elke beschreven inbraak omvat het wissen van lokale logs door de aanvaller zelf. Elke credential die de appliance ooit heeft opgeslagen of doorgegeven moet worden geroteerd, niet alleen beheerderswachtwoorden — dit soort kluizen bevat doorgaans veel meer dan mensen verwachten.
Voor Europese organisaties die onder NIS2 vallen, raakt dit type incident meteen de meldplicht: een bevestigde inbraaktechniek, root-niveau compromittering en credential-diefstal in één pakket is precies het soort "significant incident" dat de vroege-waarschuwing binnen 24 uur en de melding binnen 72 uur activeert, zodra een essentiële of belangrijke entiteit een kwetsbaar en bereikbaar exemplaar van zo'n appliance had draaien. Remote-support- en remote-access-tools verdienen daarbij een eigen plaats in elke risicobeoordeling: ze zijn per ontwerp bedoeld om overal bij te mogen, ze vallen vaak buiten het gewone endpoint-toezicht, en precies dat maakt ze aantrekkelijker voor een geavanceerde actor dan duizend individuele endpoints apart aanvallen.
Publiek is er maar één bevestigd gecompromitteerd self-hosted exemplaar in detail beschreven; hoeveel andere organisaties vóór 15 oktober daadwerkelijk geraakt zijn, is niet bekendgemaakt. Welke andere leverancier op 27 september precies de aanleiding vormde om te gaan zoeken, wordt in geen van de publicaties genoemd. De getroffen sectoren worden enkel in brede categorieën beschreven — juridisch, SaaS, outsourcing, technologie, overheid — zonder dat concrete slachtoffers worden genoemd, wat normaal is in dit stadium van een onderzoek maar wel een grens stelt aan wat we echt weten. En de bewering dat de groep een soort doorlopend, AI-ondersteund overzicht van haar doelwitsoftware bijhoudt om exploit-ketens te ontwikkelen, is een eigen inschatting van BeyondTrust — geïnformeerde speculatie, geen onafhankelijk geverifieerd technisch detail.
De komende weken verwacht ik een golf van brede, opportunistische scans zodra de kwetsbaarheid en de technische details publiek liggen — dat is precies het patroon dat deze groep eerder bij Ivanti en Citrix volgde, en er is geen reden om aan te nemen dat het deze keer anders loopt. Ik volg ook of nog meer leveranciers in dezelfde categorie — remote access, e-mailbeveiliging, VPN-concentrators — de komende weken met vergelijkbare onthullingen naar buiten komen, want deze en vergelijkbare groepen behandelen die productcategorie overduidelijk als een vaste lijst doelwitten, niet als een eenmalige gelegenheid. En ik kijk uit naar of Europese toezichthouders incidenten als dit specifiek gaan aanhalen wanneer ze het hebben over NIS2-handhaving: als er de komende maand een golf van meldingen bij toezichthouders terechtkomt, bepaalt dat mee hoe serieus de volgende onthulling van dit type genomen wordt.