Le Maroc alerte sur une cyberattaque touchant 288 ordinateurs
Par la rédaction d’AFREEQUE, d’après Hespress
La Direction générale marocaine de la sécurité des systèmes d’information alerte sur une attaque coordonnée visant des environnements cloud de ScreenConnect. Les assaillants ont pris le contrôle d’au moins six prestataires et envoyé des commandes malveillantes vers 288 ordinateurs répartis dans 48 organisations, selon l’alerte de ConnectWise relayée par la direction.
La Direction générale de la sécurité des systèmes d’information (DGSSI), l’organisme marocain chargé de la cybersécurité, a publié jeudi une alerte sur une campagne d’attaques visant les tableaux de contrôle cloud du logiciel ConnectWise ScreenConnect et des prestataires de services informatiques gérés. L’alerte s’appuie sur un avis de sécurité de ConnectWise faisant état de la prise de contrôle des consoles d’administration d’au moins six prestataires et de l’envoi de commandes malveillantes vers au moins 288 ordinateurs répartis dans 48 organisations en 90 minutes.
Les attaques ciblent notamment les environnements ScreenConnect utilisant cinq extensions de la famille RMM+, dont Labtech Plus, RMM Plus et RMM+ Password Link. Les assaillants ont exploité la fonction légitime « Run Command » pour déployer un client contrôlé à distance associé à l’outil malveillant SCKit, qui peut maintenir un accès distant, modifier les protections de Microsoft Defender et bloquer certains outils utilisés par les équipes informatiques. ConnectWise a indiqué que l’enquête se poursuit et n’a relevé ni compromission de sa propre infrastructure ni vulnérabilité dans ScreenConnect lui-même.
La campagne concerne principalement les versions cloud 26.6.6.9747 et 26.7.6.9783. Les chercheurs soupçonnent un lien avec une faille d’authentification des extensions RMM+ 1.0.31 et 1.0.32 lorsque la clé d’accès n’a jamais été configurée. La DGSSI recommande aux entreprises concernées d’intégrer les indicateurs de compromission fournis dans leurs dispositifs de détection et de protection et de désactiver immédiatement les cinq extensions, y compris dans les installations locales.
