REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
CloudSEK analyse des leurres de consultation et signature de documents associés à ScreenConnect. Le risque ne vient pas ici d’un installateur modifié : des clients authentiques sont préconfigurés pour une administration externe, ce qui change la façon de les rechercher et de les qualifier.
Déroulement décrit par la source
- Deux installateurs ScreenConnect signés et authentiques sont associés au leurre Adobe ; leurs configurations pointent vers deux tenants distincts et ils ne sont pas identifiés comme trojanisés.
- L’analyse statique des MSI révèle un service à démarrage automatique exécuté sous LocalSystem, susceptible de fournir un accès distant persistant s’il est installé.
- Le code de certaines pages vérifie le profil du visiteur puis télécharge automatiquement un client lié à un tenant ScreenConnect.
Comprendre les mécanismes et les enseignements
- La signature répond à la question de l’éditeur d’un fichier, pas à celle de l’autorité autorisée à piloter le poste. Pour un outil de gestion distante, le tenant et le relais configurés sont donc des éléments de contrôle essentiels.
- Téléchargement, installation et session distante sont des étapes différentes. Une investigation doit vérifier ce qui s’est réellement produit sur le terminal pour ne pas annoncer un contrôle persistant sur la seule présence d’un fichier récupéré par le navigateur.
Les vérifications défensives utiles
- Établir la liste des tenants et relais de téléassistance approuvés. Comparer les nouveaux services ScreenConnect à cette référence et à leur demande d’installation ; conserver le paquet et sa configuration lorsqu’un rattachement inattendu apparaît sur un poste de l’organisation.
- Pour un signalement de faux document, préserver le message, les téléchargements et les événements du navigateur. Vérifier ensuite l’installation du service, ses droits et les connexions effectives ; isoler le poste si une administration externe non autorisée est confirmée ou reste active.
- Encadrer la téléassistance par un circuit de support identifiable et une validation des installations. Lors de la récupération, supprimer les accès non autorisés après collecte, examiner les actions réalisées et renouveler les secrets potentiellement accessibles pendant les sessions distantes concernées.
Portée et limites
Le lien entre les variantes de pages reste évalué avec des niveaux de confiance différents ; la page Adobe elle-même n’a pas pu être inspectée indépendamment. Le partage d’un kit ne prouve pas un opérateur unique. Les preuves disponibles ne démontrent pas l’installation sur chaque poste ayant visité le leurre.
Rapport original
Fake "View & Sign" and Adobe Acrobat Lures Deliver Attacker-Configured ScreenConnect Clients — www.cloudsek.com.