Une console d’administration, plusieurs entreprises exposées
ScreenConnect permet aux équipes informatiques de prendre la main à distance sur un ordinateur pour assurer sa maintenance, résoudre un incident ou déployer un logiciel. Les prestataires de services informatiques managés, aussi appelés MSP, s’appuient sur ce type d’outil pour administrer les parcs de plusieurs clients. Une même console peut ainsi donner à un technicien accès à des postes répartis dans des entreprises distinctes.
C’est cette concentration des accès qui donne à l’incident sa portée. Une fois les consoles compromises, les attaquants ont détourné une fonction légitime d’administration à distance pour envoyer des commandes aux postes des clients. L’enquête a également relevé l’usage d’un outil malveillant baptisé SCKit, conçu pour maintenir un accès à distance et entraver les interventions des équipes informatiques. Des tentatives de détournement de sessions de techniciens ont aussi été signalées, avec le risque d’étendre l’attaque à d’autres consoles.
Le bilan publié par ConnectWise décrit le nombre minimal de machines vers lesquelles des commandes malveillantes ont été envoyées. L’étendue des dommages dans les organisations concernées reste à établir. Pour une entreprise cliente, la vérification doit donc porter à la fois sur ses propres postes et sur les accès que son prestataire utilise pour les administrer.
Cinq extensions tierces au cœur de l’enquête
Les investigations portent sur cinq extensions de la famille RMM+ utilisées avec ScreenConnect. ConnectWise a désactivé ces modules dans les environnements auxquels l’entreprise a accès. L’éditeur précise que leur présence, à elle seule, ne suffit pas à établir qu’une installation a été compromise.
Les chercheurs examinent une faiblesse d’authentification dans l’une de ces extensions comme point d’entrée possible. Le scénario initial reste à confirmer. ConnectWise indique qu’à ce stade, aucun élément recueilli ne met en évidence une intrusion dans sa propre infrastructure ou une vulnérabilité dans ScreenConnect lui-même. Les attaques observées visaient principalement des installations cloud. La DGSSI recommande toutefois de désactiver aussi les extensions concernées sur les installations hébergées localement.
La DGSSI demande de vérifier les accès et les journaux
L’alerte invite les organisations et leurs prestataires à désactiver les extensions visées jusqu’à de nouvelles instructions de ConnectWise, à fermer les sessions d’administration actives, à renouveler les mots de passe et à révoquer les jetons d’accès. Elle préconise aussi de limiter les droits d’exécution de commandes à un groupe restreint d’administrateurs et d’examiner les journaux pour repérer des connexions inhabituelles, des installations non autorisées ou des commandes envoyées à un nombre anormal de machines.
En cas de suspicion, la DGSSI recommande d’éviter ScreenConnect pour intervenir sur le poste concerné. Une mise à jour peut corriger une vulnérabilité connue. Si un accès malveillant a déjà été installé, son retrait exige une intervention distincte. Pour les entreprises qui externalisent leur assistance informatique, une première vérification s’impose auprès du prestataire. Quels outils utilise-t-il, quels accès détient-il et que montrent les journaux sur les interventions effectuées pendant la période de l’attaque ?
C’est cette concentration des accès qui donne à l’incident sa portée. Une fois les consoles compromises, les attaquants ont détourné une fonction légitime d’administration à distance pour envoyer des commandes aux postes des clients. L’enquête a également relevé l’usage d’un outil malveillant baptisé SCKit, conçu pour maintenir un accès à distance et entraver les interventions des équipes informatiques. Des tentatives de détournement de sessions de techniciens ont aussi été signalées, avec le risque d’étendre l’attaque à d’autres consoles.
Le bilan publié par ConnectWise décrit le nombre minimal de machines vers lesquelles des commandes malveillantes ont été envoyées. L’étendue des dommages dans les organisations concernées reste à établir. Pour une entreprise cliente, la vérification doit donc porter à la fois sur ses propres postes et sur les accès que son prestataire utilise pour les administrer.
Cinq extensions tierces au cœur de l’enquête
Les investigations portent sur cinq extensions de la famille RMM+ utilisées avec ScreenConnect. ConnectWise a désactivé ces modules dans les environnements auxquels l’entreprise a accès. L’éditeur précise que leur présence, à elle seule, ne suffit pas à établir qu’une installation a été compromise.
Les chercheurs examinent une faiblesse d’authentification dans l’une de ces extensions comme point d’entrée possible. Le scénario initial reste à confirmer. ConnectWise indique qu’à ce stade, aucun élément recueilli ne met en évidence une intrusion dans sa propre infrastructure ou une vulnérabilité dans ScreenConnect lui-même. Les attaques observées visaient principalement des installations cloud. La DGSSI recommande toutefois de désactiver aussi les extensions concernées sur les installations hébergées localement.
La DGSSI demande de vérifier les accès et les journaux
L’alerte invite les organisations et leurs prestataires à désactiver les extensions visées jusqu’à de nouvelles instructions de ConnectWise, à fermer les sessions d’administration actives, à renouveler les mots de passe et à révoquer les jetons d’accès. Elle préconise aussi de limiter les droits d’exécution de commandes à un groupe restreint d’administrateurs et d’examiner les journaux pour repérer des connexions inhabituelles, des installations non autorisées ou des commandes envoyées à un nombre anormal de machines.
En cas de suspicion, la DGSSI recommande d’éviter ScreenConnect pour intervenir sur le poste concerné. Une mise à jour peut corriger une vulnérabilité connue. Si un accès malveillant a déjà été installé, son retrait exige une intervention distincte. Pour les entreprises qui externalisent leur assistance informatique, une première vérification s’impose auprès du prestataire. Quels outils utilise-t-il, quels accès détient-il et que montrent les journaux sur les interventions effectuées pendant la période de l’attaque ?
