La société de cybersécurité Huntress a révélé une vaste campagne d'attaque ciblant des centaines d'appareils appartenant à des dizaines de clients utilisant la plateforme ConnectWise ScreenConnect. L'attaque a été détectée le 11 novembre, les attaquants ayant exploité un accès non autorisé aux tableaux de bord ScreenConnect hébergés dans le cloud pour exécuter des commandes directement sur les appareils gérés.
Détails de la compromission et rapidité de propagation
Les rapports indiquent que la campagne a touché au moins 6 fournisseurs de services managés (MSP) et 288 hôtes répartis dans 48 organisations différentes. Ce qui est inquiétant est l'efficacité élevée des attaquants, qui ont réussi à compromettre tous les appareils ciblés (288 appareils) en seulement 90 minutes.
Vulnérabilité de l'extension RMM+ et logiciel malveillant SCKit
Les attaquants ont fondé leur attaque sur l'exploitation d'une vulnérabilité de sécurité dans l'extension RMM+, une extension tierce utilisée pour gérer les sessions ScreenConnect. Le problème réside dans les versions 1.0.31 et 1.0.32, où la clé d'accès (access key) était laissée vide par défaut si l'administrateur ne la configurait pas, ce qui a permis aux attaquants de contourner le processus d'authentification en envoyant simplement une valeur vide.
Cette compromission a conduit au déploiement d'une suite d'outils malveillants connue sous le nom de SCKit, qui offre les capacités suivantes :
- Fournir un accès permanent via des portes dérobées (backdoors).
- Intercepter les cookies de session (session cookies).
- Capacité d'auto-propagation au sein du réseau.
Le logiciel fonctionne en attendant qu'un technicien se connecte à l'appareil infecté, pour ensuite se déplacer vers le poste de travail du technicien et tenter de compromettre d'autres sessions auxquelles il a accès, facilitant ainsi la propagation latérale au sein de l'organisation.
Pourquoi cette nouvelle est-elle techniquement importante ?
Le danger réside dans le ciblage des outils de gestion à distance (RMM), qui sont parmi les outils les plus sensibles de l'infrastructure technique. L'exploitation d'extensions tierces pour contourner l'authentification met en évidence une faille de sécurité courante ; ces outils sont souvent ajoutés pour des besoins temporaires puis laissés sans mise à jour ou surveillance étroite. De plus, la rapidité de l'attaque indique la capacité des attaquants à exploiter les erreurs de configuration par défaut (Default configurations) pour obtenir un accès rapide et étendu avant la détection de la compromission.
Réponse et mesures prises
En réponse à la menace, ConnectWise a désactivé cinq extensions de la famille RMM+ dans environ 400 environnements de travail, notamment Labtech Plus, RMM Plus et RMM+. Les entreprises concernées ont également été recommandées de désactiver ces extensions dans les déploiements sur site (on-premises) comme mesure de précaution immédiate.