Cybersécurité : la DGSSI alerte sur une vaste campagne d’attaques

La Direction générale de la sécurité des systèmes d’information (DGSSI) a émis, jeudi 12 novembre, une alerte concernant une campagne de cyberattaques ciblant les environnements cloud du logiciel ConnectWise ScreenConnect et les fournisseurs de services informatiques managés. Au moins 288 ordinateurs appartenant à 48 organisations auraient été visés.

Dans sa note de sécurité, la DGSSI s’appuie sur une alerte publiée par l’éditeur américain ConnectWise, faisant état d’une attaque coordonnée contre des fournisseurs de services managés (MSP) utilisant la version cloud de ScreenConnect. Selon les premières constatations, les assaillants auraient pris le contrôle des interfaces d’administration d’au moins six fournisseurs, avant de transmettre des commandes malveillantes à 288 ordinateurs répartis dans 48 organisations, en l’espace de 90 minutes.

L’opération concerne notamment des environnements intégrant cinq extensions tierces de la famille RMM+ : Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. Par mesure de précaution, ConnectWise a désactivé ces extensions dans les environnements auxquels elle pouvait accéder. L’éditeur précise toutefois que leur seule présence ne constitue pas une preuve de compromission.

Sur le plan technique, les attaquants auraient détourné la fonction légitime « Run Command » de ScreenConnect pour déployer un second client contrôlé à distance, accompagné d’un outil malveillant baptisé « SCKit ». Celui-ci permet notamment de maintenir un accès persistant aux systèmes compromis, de remplacer le client légitime et d’ajouter des exclusions dans Microsoft Defender.

Lire aussi : Cybersécurité : le Maroc troisième pays africain le plus exposé

Poursuite des investigations

Les investigations font état de ciblages visant principalement les environnements cloud fonctionnant sous les versions 26.6.6.9747 et 26.7.6.9783. Les chercheurs évoquent un lien potentiel avec une faille d’authentification affectant les versions 1.0.31 et 1.0.32 de l’extension RMM+. Celle-ci pourrait permettre un accès lorsque l’administrateur n’a jamais configuré de clé d’accès, le système acceptant alors une clé vide.

ConnectWise indique que ses investigations se poursuivent pour déterminer le vecteur initial de l’attaque et son étendue exacte. L’entreprise affirme n’avoir constaté aucun indice de compromission de sa propre infrastructure ni de vulnérabilité dans le logiciel ScreenConnect lui-même.

Face à cette menace, la DGSSI recommande aux organisations concernées de désactiver immédiatement les cinq extensions identifiées, y compris dans les installations locales, et de ne pas les réactiver avant de nouvelles instructions de l’éditeur. Elle préconise également de révoquer les sessions actives, de renouveler les mots de passe et les jetons d’authentification, ainsi que de limiter l’accès aux fonctions sensibles de la plateforme.

Les établissements sont aussi appelés à examiner leurs journaux d’activité, à rechercher d’éventuels clients non autorisés et à intégrer les indicateurs de compromission communiqués dans leurs dispositifs de détection. La DGSSI recommande enfin de centraliser les journaux dans des systèmes SIEM afin de détecter les commandes exécutées sur un nombre inhabituel d’équipements et de vérifier l’application des correctifs relatifs aux deux vulnérabilités ayant fait l’objet de précédentes alertes.