SCKit exploite ScreenConnect pour compromettre les MSP et les sessions des techniciens

Microsoft a confirmé une campagne active, initialement signalée par ConnectWise le 11 novembre, visant des instances cloud de ScreenConnect appartenant à des fournisseurs de services managés (MSP). Les attaquants utilisent le logiciel légitime d’assistance à distance pour installer des clients connectés à leur propre infrastructure et déployer le ver SCKit sur les terminaux administrés des clients. La chaîne comprend un lanceur batch, un décodeur PowerShell et du matériel cryptographique propre à l’appareil, tandis que la persistance est assurée au moyen de tâches planifiées et de clés Run du registre. Un composant nommé RelayTrap est conçu pour cibler les sessions des techniciens, créant ainsi le risque qu’une seule compromission du MSP se propage aux environnements de nombreux clients. Les organisations concernées doivent rechercher les accès et commandes ScreenConnect anormaux, les clients d’accès à distance non autorisés, les mécanismes de persistance suspects ainsi que les indicateurs publiés par Microsoft et ConnectWise.

Source : Microsoft Security Blog