PAM : quand la clé maîtresse devient le talon d'Achille

BeyondTrust exploité 7 semaines par des espions chinois. Ivanti transformé en passerelle d'accès pour cinq groupes APT en 2025. CyberArk ciblé par des campagnes de phishing sophistiquées. Les solutions PAM — conçues pour sécuriser vos systèmes les plus critiques — sont devenues la cible numéro un des acteurs étatiques. Ce retournement n'est pas un accident.

Le paradoxe PAM : la clé maîtresse attire les maîtres cambrioleurs

La logique est implacable. Un outil PAM (Privileged Access Management) est, par définition, le système qui gère les accès les plus privilégiés de votre infrastructure : credentials administrateur, comptes de service, accès SSH root, sessions RDP vers les serveurs critiques. C'est le trousseau de clés maître. Compromettre l'outil PAM, c'est potentiellement accéder à tous les systèmes qu'il gère — sans déclencher les alertes habituelles, puisque les connexions apparaissent comme du trafic d'administration légitime dans les logs réseau.

Pour un acteur d'espionnage étatique dont l'objectif est de maintenir un accès discret et durable dans un réseau cible, cette proposition est presque irrésistible. Contrairement à un ransomware qui veut faire du bruit pour forcer le paiement d'une rançon, un APT veut rester invisible le plus longtemps possible, collecter du renseignement, exfiltrer des données sans être détecté. L'outil PAM coche toutes les cases : accès central, trafic légitime en apparence, persistance naturelle via les comptes créés, et visibilité sur l'ensemble de l'architecture réseau.

La compromission de BeyondTrust Remote Support via CVE-2026-102764 illustre parfaitement ce raisonnement. ARMORY CASTLE n'a pas utilisé la faille pour déployer un ransomware ou vendre les accès sur un forum darknet. Le groupe a utilisé BeyondTrust Remote Support pour ce qu'il fait nativement : transférer des fichiers, prendre le contrôle de sessions, accéder à des systèmes distants. Sauf que ce n'était pas votre équipe IT qui pilotait — c'étaient des opérateurs liés au renseignement chinois, actifs pendant sept semaines sans être détectés.

Ce que révèle cette affaire, c'est que la confiance implicite accordée aux solutions de sécurité elles-mêmes constitue désormais une vulnérabilité systémique. Nous avons construit nos architectures de défense en profondeur sur l'hypothèse que les outils de sécurité sont de confiance. Cette hypothèse n'est plus tenable.

La chronologie des compromissions PAM et outils de sécurité (2024-2026)

Ce qui se passe avec BeyondTrust en 2026 n'est pas un événement isolé. C'est l'aboutissement d'une tendance documentée sur trois ans.

2024 — Ivanti Connect Secure : Deux zero-days (CVE-2024-21887 et CVE-2024-21893) exploités simultanément par cinq groupes APT différents. Plus de 1 700 organisations compromises dans le monde avant la publication des correctifs. L'ANSSI avait émis une alerte de niveau critique. L'outil de vérification d'intégrité publié par Ivanti s'est révélé buggé, incapable de détecter certaines persistances — aggravant la crise de confiance.

2025 — Cisco ASA et Juniper JunOS : Des campagnes APT à nexus chinois ont exploité des zero-days dans les systèmes d'exploitation de pare-feux et routeurs pour déployer des implants persistants (NightEagle pour Cisco, WarpFlux pour Juniper). Ces attaques ciblaient spécifiquement les organisations de défense et d'infrastructures critiques des pays membres de l'OTAN.

2025 — CyberArk Privileged Access Manager : Des campagnes de phishing sophistiquées ciblant les administrateurs CyberArk ont permis à des acteurs étatiques de récupérer les credentials d'accès aux vaults de mots de passe, contournant les protections techniques de la solution. La faiblesse n'était pas dans le code CyberArk mais dans l'interface humaine — même résultat catastrophique.

Octobre 2026 — BeyondTrust Remote Support : ARMORY CASTLE exploite CVE-2026-102764 pendant 7 semaines, utilise les fonctionnalités natives du produit pour exfiltrer des données, et couvre ses traces avec une rigueur opérationnelle rare.

La ligne de tendance est claire : les APT ont compris que les outils de sécurité constituent l'angle mort des défenses modernes. Nous monitorons tout — sauf les outils qui font le monitoring. Nous appliquons le zero trust partout — sauf aux outils qui gèrent les accès. C'est une ironie architecturale que les groupes APT les plus sophistiqués ont transformée en doctrine opérationnelle.

Pourquoi les équipes de sécurité ne le voient pas venir

Il y a plusieurs raisons structurelles qui expliquent pourquoi les compromissions d'outils PAM restent non détectées pendant des semaines.

Le problème du trafic légitime : Un outil PAM génère par nature des connexions vers de nombreux systèmes sensibles, crée et modifie des comptes, transfère des fichiers. Un attaquant qui utilise l'outil PAM pour ses opérations malveillantes génère exactement le même type de trafic que votre équipe IT légitime. Il n'y a pas d'anomalie comportementale à détecter si le comportement malveillant imite parfaitement le comportement attendu.

Le problème de la confiance implicite : Dans la plupart des architectures SIEM/SOC, les événements générés par les solutions de sécurité elles-mêmes bénéficient d'une confiance implicite ou sont filtrés pour réduire le bruit. Cette heuristique raisonnable devient dangereuse quand l'outil de sécurité lui-même est compromis.

Le problème de la visibilité interne : Les outils PAM sont souvent déployés par des prestataires spécialisés, avec des configurations propriétaires, dans des segments réseau dédiés avec une visibilité limitée depuis le SOC. La collecte des logs des appliances PAM elles-mêmes est rarement aussi mature que celle des serveurs applicatifs.

Le problème du délai de patch : Les appliances PAM sont souvent des systèmes critiques pour la disponibilité — un redémarrage pour patcher peut interrompre des opérations de support en cours. Les cycles de patch management sont donc souvent plus longs que pour les serveurs standards, créant des fenêtres d'exposition prolongées. ARMORY CASTLE a eu 7 semaines. Avec un cycle de patch mensuel sur les appliances PAM, cette fenêtre est largement exploitable.

L'anatomie d'une opération d'espionnage réussie : BeyondTrust et ARMORY CASTLE

Décortiquer la compromission de BeyondTrust par ARMORY CASTLE permet de comprendre l'évolution des TTPs (Tactics, Techniques and Procedures) des APT étatiques chinois en 2026.

Phase 1 — Reconnaissance : ARMORY CASTLE a cartographié les déploiements BeyondTrust Remote Support accessibles depuis Internet via des scans Shodan/Censys ou via des informations acquises sur des forums privés de threat intelligence. Les organisations ciblées dans la première vague correspondent au profil habituel d'ARMORY CASTLE : défense et aérospatiale américaines, fournisseurs technologiques critiques, organismes de recherche.

Phase 2 — Exploitation initiale (29 août) : CVE-2026-102764 est exploitée via le composant de messagerie interne mal sécurisé. L'exploitation est silencieuse, ne génère pas d'erreur visible dans l'interface et ne déclenche pas d'alerte SIEM standard. L'accès initial est root.

Phase 3 — Persistance (semaines 1-2) : Déploiement du webshell Sawfly (implant PHP minimaliste avec chiffrement des communications et capacité d'auto-destruction) et du tunneleur Bareclaw (proxy inverse utilisant HTTPS et WebSocket pour masquer les communications C2 dans le trafic légitime).

Phase 4 — Exfiltration (semaines 2-7) : Utilisation des fonctionnalités natives de BeyondTrust pour accéder aux systèmes gérés, récupérer des documents d'architecture, des credentials supplémentaires et des données de projet. Le transfert s'effectue via les canaux légitimes de BeyondTrust — trafic chiffré, vers des destinations approuvées par les pare-feux de sortie.

Phase 5 — Couverture des traces (continue) : Suppression des logs sur l'appliance, modification des timestamps, nettoyage des artefacts de session en temps réel. Cette étape continue réduit le risque qu'une sauvegarde capture les traces avant leur effacement.

Ce qui frappe dans cette chronologie, c'est la patience tactique. ARMORY CASTLE n'a pas cherché à exfiltrer le maximum de données le plus vite possible. Le groupe a opéré prudemment pendant sept semaines en restant sous le seuil de détection — le modus operandi d'un acteur étatique avec des objectifs de renseignement à long terme.

Ce que ça change dans votre stratégie de défense

Face à cette tendance, plusieurs ajustements architecturaux s'imposent. Certains remettent en question des choix faits il y a 5 à 10 ans et nécessitent des investissements. Ils ne sont pas optionnels pour les organisations avec un profil de risque élevé.

Monitorer les outils de sécurité eux-mêmes : Votre SIEM doit collecter et analyser les logs de vos solutions PAM avec le même niveau d'attention que vos serveurs applicatifs. Les créations de comptes, modifications de permissions, et transferts de fichiers initiés depuis l'appliance PAM doivent générer des alertes contextualisées. Ce qui semble évident ne l'est manifestement pas dans la majorité des SOC.

Appliquer le zero trust aux outils de sécurité : Les appliances PAM ne doivent pas avoir un accès réseau illimité aux systèmes qu'elles gèrent. Microsegmenter les accès : une appliance PAM qui gère les accès SSH vers les serveurs Linux de production ne devrait pas pouvoir initier des connexions vers les Domain Controllers. La compromission d'une appliance ne devrait pas ouvrir l'ensemble du SI.

Programme de patch management dédié pour les équipements edge : Les solutions PAM, VPN, passerelles email et EDR doivent avoir des cycles de patch management spécifiques — plus courts que les serveurs standards, pas plus longs. Tolérer 30 jours de délai sur un équipement exposé à Internet avec accès à des ressources privilégiées en 2026 est un risque non acceptable.

Intégrer les IOC des APT connus : Les campagnes ARMORY CASTLE, UNC5221 et WARP PANDA font l'objet de publications régulières de threat intelligence avec des IOC précis. Ces feeds doivent être intégrés automatiquement dans votre SIEM et vos solutions de blocage réseau.

Le cas particulier des organisations françaises

En France, la réglementation NIS2 (transposée en droit français début 2025) impose aux entités essentielles et importantes de mettre en place des mesures de gestion des risques incluant explicitement la sécurité de la chaîne d'approvisionnement et des outils tiers. Les solutions PAM déployées par des entités NIS2 entrent dans le périmètre de ces obligations.

L'ANSSI a publié plusieurs guides sur la sécurisation des solutions PAM, dont le guide « Recommandations de sécurité relatives à l'administration des systèmes d'information » mis à jour en 2024. Ces recommandations constituent un référentiel opposable en cas d'incident pour les OIV et les OSE.

Pour les entreprises françaises dans les secteurs stratégiques (défense, énergie, télécoms, transports), le niveau de menace représenté par des acteurs comme ARMORY CASTLE est documenté dans les rapports annuels de l'ANSSI depuis 2022. La compromission de BeyondTrust aux États-Unis ne doit pas être analysée comme un problème américain — ARMORY CASTLE cible des organisations dans tous les pays alliés des États-Unis, France incluse.

Recommandations concrètes pour votre PAM en 2026

Dans les 48h : Vérifier la version de toutes les appliances BeyondTrust Remote Support et appliquer le patch du 15 octobre 2026 si ce n'est pas fait. Vérifier les versions des autres solutions PAM déployées (CyberArk, Delinea, Wallix) et appliquer les correctifs en attente.

Dans les 2 semaines : Auditer la configuration de collecte de logs de vos appliances PAM — s'assurer que les logs sont exportés en temps réel vers un SIEM externe que l'appliance ne peut pas modifier. Vérifier que vos alertes couvrent les créations de comptes et modifications de permissions sur les appliances PAM elles-mêmes.

Dans le trimestre : Revoir la segmentation réseau des appliances PAM. Définir un SLA de patch management spécifique pour les équipements edge : 72h pour les CVE CVSS >= 9.0, 7 jours pour CVSS >= 7.0. Mettre en place un abonnement aux flux de threat intelligence couvrant les TTPs des APT ciblant les outils de sécurité.

Conclusion

BeyondTrust en 2026, Ivanti en 2024, Cisco et Juniper en 2025 — la liste des outils de sécurité transformés en vecteurs d'attaque s'allonge régulièrement. Ces acteurs APT ont une patience opérationnelle et des ressources que la plupart des équipes de sécurité d'entreprise ne peuvent pas égaler en termes de sophistication offensive. Ce n'est pas une raison pour baisser les bras, c'est une raison pour revoir fondamentalement les hypothèses de confiance sur lesquelles nos architectures de défense sont construites. La prochaine compromission de ce type n'est pas une question de "si" mais de "quand" et de "qui". Prenez les mesures préventives maintenant, quand vous avez encore le choix du timing.