Une console d’assistance à distance compromise peut offrir aux attaquants un accès aux appareils de plusieurs clients et laisser un accès non autorisé même après la sécurisation de la console.
Huntress enquête sur des attaques qui ont utilisé des panneaux ScreenConnect hébergés dans le cloud pour installer des clients d’accès à distance malveillants ainsi qu’une boîte à outils appelée SCKit. L’entreprise a signalé au moins 288 terminaux touchés dans 48 organisations de sa clientèle, à la suite d’une activité détectée le 11 novembre.
Pour les fournisseurs de services managés (MSP), la tâche immédiate ne se limite pas à sécuriser les comptes administrateurs : les terminaux des clients doivent faire l’objet d’une investigation et les techniciens doivent éviter toute session ScreenConnect interactive avec les appareils soupçonnés d’être infectés.
Les attaquants ont utilisé des commandes d’assistance à distance pour déployer des clients malveillants
Dans son analyse technique, Huntress a indiqué qu’un opérateur avait utilisé la fonction Run Command de ScreenConnect pour envoyer des commandes à plusieurs terminaux avec des privilèges SYSTEM. Les 288 hôtes observés ont tous été touchés en l’espace de 90 minutes, environ un tiers dans les 10 premières minutes.
Les commandes ont installé des clients ScreenConnect contrôlés par les attaquants ainsi que SCKit. Les chercheurs ont également identifié une tâche planifiée appelée TrapWatch et un répertoire de boîte à outils à l’emplacement C:\ProgramData\RelayTrap\.
Huntress a trouvé du code conçu pour se propager d’un terminal infecté vers le poste de travail d’un technicien, puis vers d’autres terminaux accessibles par l’intermédiaire de la session ScreenConnect du technicien. Toutefois, elle n’a observé la réussite d’aucun de ces deux sauts ; les tentatives de prise de contrôle de la console ont échoué dans tous les journaux d’hôtes récupérés qu’elle a examinés.
Cette distinction est importante : le déploiement sur les terminaux des clients a été observé, tandis que la propagation automatique réussie par l’intermédiaire des techniciens n’a pas été établie.
Le détournement de logiciels d’accès à distance légitimes est également apparu dans une fausse extension Clawdbot pour VS Code. Des attaques de phishing aux couleurs de DocuSign ont livré des outils légitimes de gestion à distance à des utilisateurs de Windows et de macOS. Le nom familier d’un produit ne suffit pas à établir qu’une installation est autorisée.
ConnectWise désactive cinq extensions tierces
La mise à jour de l’avis de ConnectWise du 12 nov. indiquait que son évaluation initiale pointait vers un éventuel détournement d’extensions tierces indépendantes. La méthode d’accès initial et l’ampleur totale de l’incident faisaient encore l’objet d’une enquête, et l’entreprise n’a signalé aucun élément indiquant une compromission de l’infrastructure de ConnectWise ou une vulnérabilité de ScreenConnect lui-même.
Les cinq extensions dont la désactivation a été préconisée par mesure de précaution sont les suivantes :
- Labtech Plus
- RMM Plus
- RMM+
- RMM Plus Password Link
- RMM+ Password Link
ConnectWise a identifié environ 400 environnements partenaires comportant au moins une extension répertoriée et a désactivé les extensions partout où il pouvait intervenir. Les partenaires exploitant une infrastructure sur site doivent les désactiver eux-mêmes et ne doivent pas les réinstaller ni les réactiver dans l’attente de nouvelles consignes.
L’entreprise a indiqué que les extensions fournissent une API de commandes à distance protégée par une phrase secrète configurée par le partenaire. Les enquêteurs n’ont pas confirmé si cette API constituait le point d’entrée. Les environnements concernés, au nombre d’environ 400, contenaient ces extensions ; ils n’ont pas tous été confirmés comme compromis et doivent être comptabilisés séparément des terminaux et organisations touchés recensés par Huntress.
Examinez les terminaux avant de rétablir l’accès à distance
Les consignes de réponse à incident de Huntress avertissent les clients concernés de ne se connecter à aucun hôte infecté via une instance ScreenConnect, y compris une instance nouvelle ou d’essai. L’isolement bloque l’accès des attaquants, mais ne supprime pas la boîte à outils.
Huntress recommande d’utiliser la réponse en direct d’un outil de détection et de réponse sur les terminaux (EDR), ou un autre outil de ligne de commande hors bande, pour mener l’investigation. Les postes de travail des techniciens qui se sont connectés à des hôtes soupçonnés d’être infectés doivent également être examinés.
Pour les intervenants, le travail doit couvrir trois domaines :
Domaine | Éléments à établir |
|---|---|
| Accès de gestion | Quels comptes, sessions et commandes ont été impliqués, et quels systèmes clients ils pouvaient atteindre. |
| Terminaux des clients | Si d’autres clients d’accès à distance ou mécanismes de persistance subsistent après le confinement. |
| Postes de travail des techniciens | Si le personnel s’est connecté à des appareils soupçonnés d’être infectés et si ses systèmes ou sessions pourraient être exposés. |
ConnectWise recommande d’utiliser des outils de sécurité distincts, de préserver les journaux, de révoquer les sessions ScreenConnect et celles des fournisseurs d’identité associés, de réinitialiser les identifiants depuis un appareil de confiance et d’imposer l’authentification multifacteur.
Structurez l’investigation autour des enregistrements de gestion comme des éléments de preuve provenant des terminaux. L’historique de Run Command peut aider à déterminer la fenêtre de déploiement ; la télémétrie des terminaux peut montrer quelles installations ont suivi. Comparez ces résultats aux opérations de maintenance approuvées au lieu de considérer chaque service ScreenConnect comme malveillant.
Le recours généralisé aux outils RMM dans les campagnes de phishing renforce la nécessité de documenter les produits d’accès à distance approuvés et leurs responsables. Pendant cet incident, cet inventaire fournit aux intervenants une base de référence pour identifier les clients inattendus.
Les entreprises qui font appel à un MSP doivent demander un compte rendu précis des environnements de gestion examinés, vérifier si leurs appareils ont reçu des logiciels non autorisés et comprendre comment le fournisseur a validé le nettoyage. La confirmation qu’une extension a été désactivée ne répond qu’à une partie de cette question.
Avant de rétablir l’assistance courante, documentez l’identité de la personne qui approuve la reconnexion et exigez des preuves que :
- Les journaux pertinents et les éléments de preuve provenant des terminaux ont été préservés avant le nettoyage.
- Les clients d’accès à distance non autorisés et les mécanismes de persistance ont été supprimés.
- Les sessions potentiellement exposées ont été révoquées et les identifiants concernés réinitialisés.
- Les vérifications de suivi n’ont détecté aucune réinfection.
La réinitialisation des mots de passe, la désactivation des extensions et le nettoyage des terminaux traitent des aspects différents de l’intrusion. Continuez à surveiller l’activité de gestion comme les terminaux et suivez les mises à jour des fournisseurs tandis que les enquêteurs déterminent le point d’accès et l’ampleur de l’incident.
Pour en savoir plus : Comment les attaquants dissimulent le vol d’identifiants et les installations de ScreenConnect derrière des liens Google de confiance explique une autre voie par laquelle un accès à distance non autorisé peut atteindre les appareils des employés.