ScreenConnect : une faille sans correctif et une campagne d'attaque en cascade

ScreenConnect, le logiciel de prise en main à distance édité par ConnectWise, cumule cette semaine deux mauvaises nouvelles distinctes qui n'ont pas la même origine mais qui dessinent le même constat : cet outil très utilisé par les prestataires informatiques reste une cible de choix.

Une faille de transfert de fichiers encore sans correctif

ConnectWise a lui-même identifié un problème dans le comportement du transfert de fichiers au sein des sessions ScreenConnect Remote Access et Support, sur les déploiements cloud comme sur site. Aucun identifiant CVE ni score de gravité n'a été communiqué à ce stade, et aucune exploitation de cette faille précise n'a été rapportée. L'éditeur promet un correctif « plus tard cette semaine » et recommande, en attendant, de désactiver la permission « TransferFiles » dans les rôles utilisateurs via la console d'administration.

Le contexte n'aide pas à relativiser : selon le service de surveillance Shadowserver, environ 6 000 instances ScreenConnect restent exposées directement sur internet. Et trois vulnérabilités antérieures du logiciel figurent déjà au catalogue des failles activement exploitées tenu par la CISA américaine, un historique qui n'implique rien sur ce nouveau problème mais qui explique la nervosité autour de chaque nouvelle annonce.

Une campagne distincte : des clients ScreenConnect détournés

Séparément, la société de sécurité Huntress a détaillé une campagne où des clients ScreenConnect malveillants sont installés via trois portes d'entrée différentes : une fausse arnaque au support technique passant par Quick Assist, un installeur MSI livré en pièce jointe de phishing, et un faux formulaire de remboursement se faisant passer pour Geek Squad. Ce n'est pas la faille de transfert de fichiers qui est exploitée ici, mais l'ingénierie sociale classique pour faire installer l'outil lui-même.

Une fois le client posé, une chaîne de quatre scripts VBScript s'exécute en cascade : le premier dresse un profil de la machine (RAM disponible, présence de CrowdStrike, Huntress ou SentinelOne) et écrit le résultat dans un fichier temporaire ; le deuxième télécharge une donnée depuis Dropbox en fonction de ce profil ; le troisième récupère la charge utile correspondant à l'état de la machine ; le quatrième lance un script PowerShell qui déchiffre et exécute cette charge finale. Selon l'état renvoyé par la machine, le résultat va d'un simple outil d'escalade de privilèges jusqu'au dépôt d'un mineur de cryptomonnaie.

Deux problèmes, un même produit

Il serait inexact de fondre ces deux informations en une seule : la faille de transfert de fichiers est un défaut logiciel signalé par l'éditeur lui-même, tandis que la campagne VBScript exploite la crédulité des utilisateurs pour faire installer un client ScreenConnect légitime détourné à des fins malveillantes. Elles partagent seulement le même logiciel et la même semaine d'actualité, ce qui justifie de les traiter ensemble sans les confondre.

Pour les administrateurs, la check-list du jour tient en deux points : couper la permission de transfert de fichiers en attendant le correctif, et former les équipes à se méfier des demandes de prise en main à distance non sollicitées, quel que soit le prétexte invoqué.

Sources

BleepingComputer, « ConnectWise warns of new ScreenConnect flaw without patch »

The Hacker News, « Rogue ScreenConnect Clients Spread Four-Stage VBScript Chain to Newly Connected Hosts »