Une seule intrusion informatique peut suffire à mettre en danger les systèmes de plusieurs dizaines d'entreprises. C'est le scénario mis en évidence par une campagne de cyberattaques visant les prestataires chargés de gérer et de maintenir à distance les équipements informatiques de leurs clients. Dans une note de sécurité publiée ce jeudi, la Direction générale de la sécurité des systèmes d'information (DGSSI), relevant de l'Administration de la Défense nationale, met en garde contre une menace dont elle juge le niveau de risque et l'impact « critiques ».
Selon les informations rapportées dans cette alerte, les pirates sont parvenus à prendre le contrôle des consoles d'administration d'au moins six prestataires informatiques. En l'espace de 90 minutes seulement, ils ont utilisé ces accès pour transmettre des commandes à au moins 288 ordinateurs répartis dans 48 organisations. Une opération qui illustre la rapidité avec laquelle une intrusion initialement limitée peut atteindre plusieurs structures.
ConnectWise ScreenConnect fait partie de ces solutions. Il permet notamment aux techniciens d'accéder à des ordinateurs, d'exécuter des commandes et d'effectuer des opérations de maintenance. Ces fonctionnalités, indispensables au fonctionnement quotidien de nombreuses organisations, peuvent cependant devenir particulièrement dangereuses lorsqu'elles tombent entre de mauvaises mains.
C'est ce mécanisme qu'ont exploité les attaquants. Après avoir obtenu le contrôle de certaines consoles d'administration, ils ont détourné une fonctionnalité légitime du logiciel, baptisée « Run Command », pour installer un second outil de connexion à distance placé sous leur contrôle.
Les pirates ont également déployé un programme malveillant appelé « SCKit », conçu pour maintenir leur présence dans les systèmes compromis et compliquer les interventions des équipes de sécurité.
Le danger réside ainsi dans la multiplication des accès. En compromettant un prestataire qui administre les équipements de plusieurs clients, les attaquants peuvent potentiellement atteindre un grand nombre d'ordinateurs sans avoir à pénétrer séparément dans chaque entreprise.
Plus inquiétant encore, les attaquants peuvent utiliser des fonctionnalités de Windows pour empêcher l'exécution de certains outils employés par les administrateurs informatiques pour neutraliser l'intrusion. Le programme comporte également des mécanismes destinés à assurer sa persistance, notamment par la création d'une tâche planifiée baptisée « TrapWatch ».
Les investigations ont par ailleurs mis en évidence des tentatives de récupération des sessions d'administration des techniciens. L'objectif est de pouvoir accéder à d'autres consoles ScreenConnect et d'étendre potentiellement l'attaque à de nouveaux prestataires et à leurs clients.
Cette capacité de propagation représente l'un des principaux facteurs de gravité de l'incident. Une entreprise peut en effet voir ses systèmes exposés non pas à la suite d'une défaillance directe de ses propres protections, mais parce qu'un partenaire informatique disposant d'autorisations étendues a été compromis.
Les conséquences potentielles sont multiples : accès non autorisé à des informations confidentielles, installation d'autres logiciels malveillants, perturbation des activités ou préparation d'attaques plus destructrices, notamment par rançongiciel. Il s'agit toutefois de risques possibles et non de conséquences toutes constatées dans les organisations concernées par cette campagne.
Cette faiblesse, identifiée dans les versions 1.0.31 et 1.0.32 de l'extension, constitue une piste dans l'analyse des attaques, mais leur point d'entrée initial n'a pas encore été formellement établi.
ConnectWise précise qu'aucun élément ne permet, à ce stade, de conclure à une compromission de sa propre infrastructure ou à l'exploitation d'une vulnérabilité du logiciel ScreenConnect lui-même. L'éditeur poursuit ses investigations pour déterminer l'étendue exacte de l'incident.
Les environnements particulièrement concernés sont ceux utilisant certaines extensions tierces de la famille RMM+, notamment Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link.
À titre préventif, ConnectWise a procédé à la désactivation de ces extensions dans les environnements auxquels l'éditeur disposait d'un accès. Leur simple présence ne signifie toutefois pas qu'un système a été compromis.
L'autorité appelle également à révoquer les sessions d'administration actives, à renouveler les mots de passe et à limiter les autorisations permettant d'exécuter des commandes à distance sur plusieurs ordinateurs.
Une attention particulière doit être accordée aux journaux d'activité, afin de repérer d'éventuelles connexions inhabituelles, installations de logiciels non autorisés ou créations suspectes de comptes administrateurs. Les organisations sont également invitées à interroger leurs prestataires sur les outils de gestion à distance utilisés et sur les comptes disposant d'accès privilégiés à leurs systèmes.
La DGSSI insiste sur un point essentiel : la simple mise à jour du logiciel ne garantit pas l'élimination d'une éventuelle compromission. Les pirates peuvent avoir installé des mécanismes leur permettant de conserver un accès aux équipements même après la correction des faiblesses initiales.
Au-delà de l'incident technique, cette campagne met en évidence un enjeu majeur de cybersécurité pour les entreprises : la protection de leurs systèmes ne dépend plus uniquement de leurs propres dispositifs de défense. Elle repose également sur la sécurité des prestataires auxquels elles accordent des accès à leurs infrastructures. Une intrusion chez l'un de ces partenaires peut ainsi ouvrir la voie à des attaques touchant simultanément plusieurs organisations.
Selon les informations rapportées dans cette alerte, les pirates sont parvenus à prendre le contrôle des consoles d'administration d'au moins six prestataires informatiques. En l'espace de 90 minutes seulement, ils ont utilisé ces accès pour transmettre des commandes à au moins 288 ordinateurs répartis dans 48 organisations. Une opération qui illustre la rapidité avec laquelle une intrusion initialement limitée peut atteindre plusieurs structures.
Comment les pirates peuvent-ils atteindre plusieurs entreprises à la fois ?
Pour comprendre la gravité de cette menace, il faut s'intéresser au fonctionnement des services de maintenance informatique. De nombreuses entreprises confient tout ou partie de la gestion de leurs ordinateurs, serveurs et logiciels à des prestataires spécialisés, appelés Managed Service Providers (MSP). Ces derniers utilisent des outils permettant d'intervenir à distance sur les équipements de leurs clients, sans avoir à se déplacer physiquement.ConnectWise ScreenConnect fait partie de ces solutions. Il permet notamment aux techniciens d'accéder à des ordinateurs, d'exécuter des commandes et d'effectuer des opérations de maintenance. Ces fonctionnalités, indispensables au fonctionnement quotidien de nombreuses organisations, peuvent cependant devenir particulièrement dangereuses lorsqu'elles tombent entre de mauvaises mains.
C'est ce mécanisme qu'ont exploité les attaquants. Après avoir obtenu le contrôle de certaines consoles d'administration, ils ont détourné une fonctionnalité légitime du logiciel, baptisée « Run Command », pour installer un second outil de connexion à distance placé sous leur contrôle.
Les pirates ont également déployé un programme malveillant appelé « SCKit », conçu pour maintenir leur présence dans les systèmes compromis et compliquer les interventions des équipes de sécurité.
Le danger réside ainsi dans la multiplication des accès. En compromettant un prestataire qui administre les équipements de plusieurs clients, les attaquants peuvent potentiellement atteindre un grand nombre d'ordinateurs sans avoir à pénétrer séparément dans chaque entreprise.
Une menace qui peut persister même après sa découverte
La note de la DGSSI décrit plusieurs capacités particulièrement préoccupantes du logiciel malveillant utilisé dans cette campagne. SCKit peut notamment installer un client de connexion à distance non autorisé afin de conserver un accès aux machines compromises. Il est également capable de modifier certains paramètres de Microsoft Defender, de manière à affaiblir les mécanismes de protection.Plus inquiétant encore, les attaquants peuvent utiliser des fonctionnalités de Windows pour empêcher l'exécution de certains outils employés par les administrateurs informatiques pour neutraliser l'intrusion. Le programme comporte également des mécanismes destinés à assurer sa persistance, notamment par la création d'une tâche planifiée baptisée « TrapWatch ».
Les investigations ont par ailleurs mis en évidence des tentatives de récupération des sessions d'administration des techniciens. L'objectif est de pouvoir accéder à d'autres consoles ScreenConnect et d'étendre potentiellement l'attaque à de nouveaux prestataires et à leurs clients.
Cette capacité de propagation représente l'un des principaux facteurs de gravité de l'incident. Une entreprise peut en effet voir ses systèmes exposés non pas à la suite d'une défaillance directe de ses propres protections, mais parce qu'un partenaire informatique disposant d'autorisations étendues a été compromis.
Les conséquences potentielles sont multiples : accès non autorisé à des informations confidentielles, installation d'autres logiciels malveillants, perturbation des activités ou préparation d'attaques plus destructrices, notamment par rançongiciel. Il s'agit toutefois de risques possibles et non de conséquences toutes constatées dans les organisations concernées par cette campagne.
Une faiblesse d'authentification parmi les pistes examinées
Les investigations menées autour de cette campagne ont notamment mis en évidence une faiblesse d'authentification dans certaines versions de l'extension RMM+, utilisée avec ConnectWise ScreenConnect. Lorsque l'administrateur n'a jamais configuré de clé d'accès, le système peut accepter une clé vide, ouvrant potentiellement la voie à des accès non autorisés.Cette faiblesse, identifiée dans les versions 1.0.31 et 1.0.32 de l'extension, constitue une piste dans l'analyse des attaques, mais leur point d'entrée initial n'a pas encore été formellement établi.
ConnectWise précise qu'aucun élément ne permet, à ce stade, de conclure à une compromission de sa propre infrastructure ou à l'exploitation d'une vulnérabilité du logiciel ScreenConnect lui-même. L'éditeur poursuit ses investigations pour déterminer l'étendue exacte de l'incident.
Les environnements particulièrement concernés sont ceux utilisant certaines extensions tierces de la famille RMM+, notamment Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link.
À titre préventif, ConnectWise a procédé à la désactivation de ces extensions dans les environnements auxquels l'éditeur disposait d'un accès. Leur simple présence ne signifie toutefois pas qu'un système a été compromis.
Les mesures urgentes recommandées par la DGSSI
Face à cette situation, la DGSSI recommande aux entreprises et à leurs prestataires de vérifier la présence des extensions concernées et de les désactiver immédiatement, y compris dans les installations hébergées sur leurs propres infrastructures.L'autorité appelle également à révoquer les sessions d'administration actives, à renouveler les mots de passe et à limiter les autorisations permettant d'exécuter des commandes à distance sur plusieurs ordinateurs.
Une attention particulière doit être accordée aux journaux d'activité, afin de repérer d'éventuelles connexions inhabituelles, installations de logiciels non autorisés ou créations suspectes de comptes administrateurs. Les organisations sont également invitées à interroger leurs prestataires sur les outils de gestion à distance utilisés et sur les comptes disposant d'accès privilégiés à leurs systèmes.
La DGSSI insiste sur un point essentiel : la simple mise à jour du logiciel ne garantit pas l'élimination d'une éventuelle compromission. Les pirates peuvent avoir installé des mécanismes leur permettant de conserver un accès aux équipements même après la correction des faiblesses initiales.
Au-delà de l'incident technique, cette campagne met en évidence un enjeu majeur de cybersécurité pour les entreprises : la protection de leurs systèmes ne dépend plus uniquement de leurs propres dispositifs de défense. Elle repose également sur la sécurité des prestataires auxquels elles accordent des accès à leurs infrastructures. Une intrusion chez l'un de ces partenaires peut ainsi ouvrir la voie à des attaques touchant simultanément plusieurs organisations.
