涉华组织利用BeyondTrust远程支持工具漏洞长达数周

据The Record 10月16日报道，BeyondTrust证实了Mandiant的判断，即该组织从事的是中国政府支持的间谍行动。谷歌以Armory Castle的名称追踪该组织。它的旧名是UNC5221，CrowdStrike称之为Warp Panda，自2023年10月起一直活跃。零日漏洞指厂商发布补丁之前就被用于攻击的漏洞。这一漏洞源于内部组件无法验证消息来源，攻击者借此可以在设备上执行文件操作，并提升到root权限。

据Cybersecurity Dive报道，攻击者使用了2种工具。一种是名为Sawfly的PHP网页后门，提供加密的命令与控制；另一种是名为Bareclaw的SOCKS5隧道工具。该组织留下的痕迹显示，它获取了设备上存储的全部凭据，瞄准了机密数据库，并利用BeyondTrust自身的文件传输服务下载数据。谷歌的凯利·范德李表示，受影响机构的数量目前不多。她补充说，在披露之前，其他机构也可能已经被攻陷。

该组织的目标包括律师事务所、SaaS提供商、业务流程外包公司、科技公司和政府机构。它此前曾利用思杰的零日漏洞，以及Ivanti的CVE-2023-46805、CVE-2024-21887和CVE-2025-0282漏洞。SaaS客户已于10月9日自动获得补丁。按照BT26-05通告，自行运营服务器的客户需要手动更新。Mandiant建议，每台暴露在互联网上的易受攻击设备，在完成检查之前都应视为已被攻陷。