Mandiant: ARMORY CASTLE атаковала BeyondTrust через сессии удалённой поддержки

Mandiant описала атаку ARMORY CASTLE, при которой скомпрометированный BeyondTrust Remote Support использовался для перемещения по сети. CISA рекомендует немедленно пересылать syslog и события сессий в SIEM, а Mandiant — перевыпустить Jump Clients и токены с пересобранного устройства.

• Локальные логи BeyondTrust лежат на зашифрованном разделе и не централизуются без пересылки
• CISA требует отправлять syslog и события сессий в SIEM вместе с логами WAF и прокси
• Mandiant советует перевыпустить Jump Clients и токены с пропатченного устройства
• Интервал между взломом и раскрытием измерялся неделями