Présentation du SCKit
Le groupe de logiciels malveillants nommé SCKit a été identifié comme ciblant spécifiquement les environnements de support à distance. Le nom même du malware indique une orientation vers les outils de contrôle d’écran, ce qui suggère une spécialisation dans la compromission de solutions de type Remote Desktop. Aucun numéro de version ou identifiant CVE n’est fourni dans la source, mais le comportement décrit se limite à la manipulation des sessions légitimes de ScreenConnect.
ScreenConnect et son modèle d’accès
ScreenConnect, commercialisé aujourd’hui sous le nom de ConnectWise Control, fonctionne comme un serveur central qui établit des tunnels chiffrés entre le technicien MSP et le poste client. Chaque session repose sur un jeton d’authentification temporaire généré par le serveur et transmis au client via HTTPS. Cette architecture, bien que sécurisée lorsqu’elle est correctement configurée, crée un point unique où un acteur malveillant peut intercepter ou réutiliser les jetons si le processus d’établissement de la connexion est compromis.
Mécanismes d’infection et d’exploitation
Selon la description, SCKit s’installe sur les machines hébergeant le serveur ScreenConnect ou sur les postes clients. Une fois présent, le malware peut injecter du code dans le processus du serveur, modifier les paramètres de génération de jetons ou exploiter des vulnérabilités de privilèges pour accéder aux fichiers de configuration. Ces actions permettent de rediriger les flux de session vers des endpoints contrôlés par l’attaquant, transformant ainsi chaque appel de support en une porte d’entrée potentielle pour le réseau du MSP. Le fait que le malware cible les « support sessions » indique qu’il exploite le modèle de confiance implicite entre le technicien et le client, un vecteur souvent négligé dans les audits de sécurité.
Conséquences pour les MSP et mesures de mitigation
La compromission d’une session ScreenConnect donne à l’attaquant la capacité d’exécuter des commandes à distance, d’exfiltrer des données sensibles et de se déplacer latéralement au sein de l’infrastructure du prestataire de services. Cette situation augmente le risque de fuite de données clients, de sabotage de services et de prise de contrôle de systèmes critiques. Les mesures de mitigation recommandées, bien que non détaillées dans la source, incluent la segmentation du réseau du serveur ScreenConnect, la rotation fréquente des jetons d’accès, la surveillance des processus du serveur pour détecter des injections non autorisées et la mise à jour régulière du logiciel avec les correctifs de sécurité publiés par le fournisseur. En l’absence de données chiffrées supplémentaires, il reste essentiel d’appliquer une défense en profondeur autour de toute plateforme de support à distance.
