Contexte de l'attaque
Le rapport indique que des acteurs malveillants ont exploité des clients ScreenConnect (rebaptisé ConnectWise Control) pour infiltrer au moins 288 endpoints répartis dans 48 organisations. Les victimes sont principalement des entreprises de taille moyenne, ce qui montre que la menace ne se limite pas aux grandes structures. L’attaque repose sur l’installation de rogue clients capables de prendre le contrôle à distance des machines ciblées.
Architecture de ScreenConnect et surface d’exposition
ScreenConnect fonctionne selon un modèle client‑serveur où le serveur centralise les sessions et les clients s’y connectent via TLS. Le serveur expose une API REST et un portail web, généralement accessible sur le port 443. Chaque client possède une clé d’authentification unique stockée localement ; la compromission d’une clé permet à un attaquant d’établir une session valide sans interaction utilisateur. La présence de rogue clients indique que les attaquants ont pu injecter ou remplacer ces clés, contournant ainsi le mécanisme d’authentification prévu.
Vecteurs d’infection et mécanismes d’escalade
Les informations disponibles ne précisent pas le point d’entrée initial, mais plusieurs scénarios sont compatibles avec la création de clients malveillants. Un vecteur fréquent est le phishing ciblé contenant un exécutable nommé ScreenConnect.Client.exe, qui, une fois exécuté, enregistre une clé d’accès sur la machine victime. Une autre possibilité est l’exploitation d’une vulnérabilité du serveur web (par exemple une désérialisation JSON) permettant l’ajout de clients non autorisés. Dans les deux cas, le résultat est la capacité d’établir une connexion RDP ou VNC inversée, donnant à l’attaquant un contrôle complet sur l’endpoint.
Impacts observés et mesures d’atténuation
Le contrôle à distance sur 288 postes a permis aux acteurs de déployer des charges utiles additionnelles, telles que des ransomwares ou des extracteurs de données. La propagation interne est facilitée par la confiance implicite entre les machines déjà enregistrées sur le serveur. Pour limiter ce risque, il est recommandé de restreindre l’accès au serveur ScreenConnect à des adresses IP connues, de désactiver l’enregistrement automatique de nouveaux clients et de mettre en place une authentification à facteurs multiples pour la console d’administration. La rotation régulière des clés client et la surveillance des journaux d’audit pour détecter des connexions inhabituelles sont également essentielles. Enfin, la mise à jour du serveur vers la version la plus récente, qui corrige plusieurs failles de désérialisation, réduit la surface d’attaque exploitable par les acteurs.
