La DGSSI alerte après des cyberattaques contre six prestataires
Par la rédaction d’AFREEQUE, d’après Le Matin et La Nouvelle Tribune
La DGSSI marocaine alerte sur une campagne de cyberattaques ayant compromis les consoles d’administration d’au moins six prestataires informatiques. En 90 minutes, les attaquants ont envoyé des commandes à 288 ordinateurs appartenant à 48 organisations, selon la DGSSI.
La campagne a exploité la fonction « Run Command » de ConnectWise ScreenConnect pour installer un second client malveillant et SCKit. Ce dernier permet de maintenir un accès à distance, de contourner certaines protections de Microsoft Defender, de bloquer des outils de remédiation et de tenter de dérober des identifiants administrateurs, selon la DGSSI.
L’alerte, publiée le 12 novembre 2026 et classée au niveau critique, concerne notamment les environnements cloud utilisant les extensions tierces RMM+ Labtech Plus, RMM Plus et leurs variantes Password Link. Les versions 1.0.31 et 1.0.32 présentent une faiblesse d’authentification lorsque la clé d’accès n’a jamais été configurée, selon la DGSSI.
La DGSSI recommande de désactiver immédiatement les extensions concernées, de renouveler les mots de passe, de révoquer les sessions et jetons actifs, de limiter les privilèges d’administration et d’examiner les journaux. Elle avertit qu’une simple mise à jour du logiciel ne suffit pas à garantir la sécurité d’un système potentiellement compromis.
La campagne rappelle d’autres attaques visant des outils de gestion à distance, dont le chiffrement de 1 500 à 2 000 systèmes de clients d’un MSP américain via une faille de Kaseya et des attaques attribuées à DragonForce contre SimpleHelp. Le vecteur initial et l’ampleur exacte de la campagne restent en cours d’investigation.
