ScreenConnect : la faille du plugin RMM+ infecte 288 PC

Quelle est la faille du plugin ScreenConnect RMM+ ?

Huntress a relié l'activité à RMM+, une extension qui permet à d'autres outils de gestion d'envoyer des commandes via ScreenConnect sans que le technicien ouvre la console. Les versions 1.0.31 et 1.0.32 comportent un défaut : sans clé d'accès configurée, elles acceptent une clé vide. Comme RMM+ fonctionne indépendamment des comptes et de l'authentification habituels de ScreenConnect, un attaquant pourrait exécuter des commandes sans déjouer l'authentification multifacteur. Huntress a vu des commandes arriver sans connexion correspondante.

Les versions 26.6.6.9747 et 26.7.6.9783 de ScreenConnect ont aussi été touchées : être à jour ne suffisait donc pas.

Le logiciel malveillant, SCKit, compte 16 fichiers. Il installe un second client ScreenConnect pour conserver l'accès même si la connexion légitime est coupée. Il tend aussi un piège au technicien : s'il se connecte pour enquêter, SCKit tente de transférer du code malveillant vers son poste et de voler ses cookies d'authentification. Selon Huntress, cela n'a pas fonctionné jusqu'ici. L'entreprise pense qu'un modèle d'IA a aidé à écrire une partie du code, vu des commentaires inhabituellement détaillés.

Que doivent faire les administrateurs ?

ConnectWise a recensé environ 400 installations dotées d'au moins une extension de la famille RMM+, sans que cela prouve une compromission. Cinq extensions, dont RMM+, RMM Plus et Labtech Plus, ont été désactivées à distance quand c'était possible. Les clients qui hébergent leur propre serveur doivent en faire autant. L'éditeur affirme n'avoir trouvé ni compromission de son infrastructure ni faille dans ScreenConnect lui-même.

Les deux entreprises déconseillent d'enquêter via ScreenConnect. Il faut employer d'autres outils de sécurité, chercher les clients pirates, vérifier les commandes exécutées et supprimer les résidus avant de remettre les machines en ligne. Huntress a vu des postes réinfectés quelques minutes après leur isolation. Désactiver les extensions et réinitialiser les identifiants peut ne pas suffire, prévient ConnectWise.