Mandiant atribuye al APT chino Armory Castle la explotación de un zero-day en productos BeyondTrust desde el pasado 29 de agosto.
Un fallo crítico, cuarenta y siete días de silencio y un parche que llegó tarde
El grupo —que Google Threat Intelligence Group (GTIG) rastreaba antes como UNC5221— aprovechó el fallo crítico CVE-2026-102764 en la herramienta Remote Support de la firma estadounidense para escalar privilegios, moverse lateralmente por la red comprometida y evadir la detección. El fallo llevaba explotándose desde finales de agosto y no se ha reconocido de forma pública hasta el jueves 15 de octubre, casi siete semanas después del primer acceso.
BeyondTrust admitió el fallo ese mismo jueves y publicó un parche para los clientes con despliegue propio el 8 de octubre; aplicó además la actualización de forma automática a las versiones en la nube ese mismo día. El aviso llegó cuarenta y siete días después del primer ataque conocido, un margen que en el oficio equivale a regalarle tiempo al adversario.
La compañía detectó y contuvo la actividad maliciosa el 28 de septiembre, según su propio comunicado. La fecha no es casual: un día antes, el 27, se confirmaba la explotación de otra tanda de zero-days en NetScaler de Citrix, que llevaba más de tres semanas operando sin ser detectada. Un portavoz de BeyondTrust declinó precisar cuántos clientes habían sido comprometidos y por qué no se divulgó antes el fallo. Le adelanto que ese solapamiento temporal es el detalle que más incomoda hoy en Fort Meade, en Cheltenham y en Bruselas.
Mandiant animó a las organizaciones a ‘prepararse para una posible explotación masiva’. No es alarmismo. Armory Castle ha repetido el mismo libreto con Ivanti desde 2023, con el zero-day de Citrix NetScaler conocido como CitrixBleed y con la campaña Brickstorm, cuya permanencia media en las redes víctimas alcanzó los 400 días. Cuatrocientos días de presencia silenciosa no son un incidente: son una ocupación.
Cuando un grupo rota sus herramientas y su infraestructura para cada víctima, la atribución deja de ser una firma binaria y pasa a ser una conducta.
Armory Castle: Ivanti, Citrix y la paciencia de quien no tiene prisa
Mandiant y GTIG publicaron su análisis a la vez que BeyondTrust reconocía el fallo. La empresa lo dijo sin rodeos en su propio blog: ‘Este actor rota su infraestructura y sus herramientas para cada víctima, de modo que la atribución aquí descansa en el comportamiento. Los indicadores de una intrusión rara vez sobreviven hasta la siguiente’. No hay firma binaria que valga, solo modus operandi, y eso eleva el listón de cualquier investigación.
El perfil de las víctimas dibuja la geografía del interés chino: unidades de externalización de procesos de negocio, administraciones públicas, servicios jurídicos, compañías tecnológicas, y proveedores de software como servicio. Es decir, todo lo que sirve de puente hacia un cliente mayor. En palabras de Kelli Vanderlee, analista sénior de GTIG, ‘solo tenemos constancia por ahora de un número reducido de organizaciones afectadas, pero dada la sigilosidad de la actividad y el uso de un zero-day, es posible que otras fueran comprometidas antes de la divulgación’.
La elección de objetivos no es caprichosa. Los dispositivos de borde —pasarelas VPN, accesos remotos, herramientas de soporte— rara vez soportan detección y respuesta en el endpoint (EDR). Son la puerta de servicio, sin alarma y sin testigos. Dan Perez, responsable técnico de GTIG, lo resume señalando que Armory Castle sigue siendo uno de los actores más prominentes vinculados a China por su empeño en las tecnologías de borde y por un arsenal que no deja de crecer.
Dossier Moncloa: Ojos en la Sombra
Estamos ante un caso de manual de ciberespionaje de Estado con vulnerabilidad de día cero. El vector combina un fallo crítico sin parche público en el momento del ataque con técnicas de post-explotación volcadas en la permanencia: escalada de privilegios y movimiento lateral sostenido.
Quien ataca es Armory Castle, con alta probabilidad de vínculo con el aparato de inteligencia de Pekín, aunque conviene decirlo con la cautela del oficio: la atribución a China descansa en el comportamiento, no en una prueba forense irrefutable. Quien defiende es BeyondTrust y, por extensión, sus clientes. Quien mira son la NSA, el GCHQ y el CERT europeo, que llevan dos años viendo al mismo grupo golpear una y otra vez el mismo tipo de producto.
Por la naturaleza del material comprometido y por el tipo de organizaciones alcanzadas, estimo un nivel de clasificación de Confidencial a Secreto en los entornos gubernamentales y jurídicos afectados. No hablamos de los planos de un caza, pero sí de credenciales de acceso remoto, configuraciones de borde y corredores hacia redes internas. Con eso se entra, se espera y se sale sin dejar rastro durante meses.
El precedente que me viene a la cabeza es la brecha de la Oficina de Gestión de Personal estadounidense (OPM) en 2015, atribuida a Pekín, donde quedaron expuestos los expedientes de 21,5 millones de personas. Los servicios chinos buscan el acceso duradero, no el golpe sonoro. Por eso me interesa menos el CVE de turno que el patrón: fabricante de seguridad, dispositivo de borde, zero-day y silencio. Ya advertí en El quinto elemento que el próximo 11S empezará con un clic, y este tipo de actor es exactamente el que coloca la primera pieza.
Lo que me preocupa no es solo el número de víctimas —Mandiant habla de un puñado de organizaciones, pero admite que podrían ser más—, sino la ventana de cuarenta y siete días entre la primera explotación y la divulgación. Ese hueco es el mejor amigo del espionaje: sin parche, sin aviso y sin EDR en el borde, el grupo puede leer correo, robar credenciales y plantar puertas traseras a su ritmo.
En España, el CCN-CERT mantiene vigilancia sobre este tipo de campañas en dispositivos de borde, y las empresas con Remote Support desplegado en modo propio deberían haber aplicado ya la actualización del 8 de octubre. Para quien administra infraestructura crítica, la pregunta no es si Armory Castle miró hacia su red, sino desde cuándo. Habrá que seguir el próximo análisis técnico de Mandiant y el aviso del CERT nacional para medir el alcance real.
