REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Huntress observe l’utilisation malveillante de plateformes de gestion de terminaux légitimes. L’inscription d’un poste sous une autorité hostile peut fournir un moyen durable de redéployer des outils distants : supprimer le dernier agent installé laisse alors la cause de sa réapparition intacte.
Déroulement décrit par la source
- Huntress décrit des incidents d’ingénierie sociale conduisant à installer des agents ou à inscrire des appareils dans des plateformes MDM comme Hexnode et Rippling.
- Dans les deux cas présentés, ce chemin d’administration privilégié sert ensuite à installer des outils RMM non autorisés.
- Dans un incident Hexnode, l’agent MDM déjà installé permet le redéploiement de ScreenConnect après son retrait.
Comprendre les mécanismes et les enseignements
- L’autorité qui gère un poste compte autant que les logiciels visibles dessus. Une inscription MDM non autorisée peut remettre en place un agent supprimé ; la recherche de persistance doit inclure les politiques et comptes de gestion qui contrôlent le terminal.
- L’abus d’un outil légitime ne démontre pas une vulnérabilité du produit. Une défense efficace vérifie l’identité de l’organisation gestionnaire, le consentement à l’inscription et les actions réellement distribuées, au lieu de bloquer uniquement un nom d’éditeur.
Les vérifications défensives utiles
- Inventorier les autorités de gestion approuvées et comparer leur identité à celle affichée sur les postes. Examiner les inscriptions et profils nouveaux, puis valider chaque exception avec l’équipe responsable ; garder une trace des paramètres avant de retirer un profil suspect.
- Lorsqu’un outil distant réapparaît, rechercher le mécanisme qui le redéploie avant de répéter sa désinstallation. Corréler les journaux MDM, installations de services et destinations de relais ; préserver les données utiles à l’investigation et isoler le terminal si l’administration hostile reste active.
- Séparer les comptes qui autorisent l’enrôlement et ceux qui publient les applications. Limiter les droits de gestion aux équipes nécessaires, tester les notifications d’inscription inattendue et reconstruire les terminaux dont l’autorité de confiance ne peut pas être rétablie avec certitude.
Portée et limites
Le rapport documente des usages malveillants de fonctions de gestion, pas une faille inhérente à Hexnode ou Rippling. Les chemins de déploiement peuvent varier. La présence d’un MDM ou d’un RMM n’est donc pas, seule, une preuve d’intrusion ; elle exige une validation de son propriétaire et de son usage.
Rapport original
Managed for Malice: How Attackers Turn MDM into Remote Access — www.huntress.com.