ScreenConnect

Source: Huntress — Dans un billet technique, Huntress détaille une enquête d’incident Qilin avec télémétrie minimale, reconstruite grâce à des artefacts Windows pour retracer l’attaque du premier accès jusqu’au chiffrement. Les analystes ont travaillé sans EDR, SIEM ni canaris ransomware, s’appuyant sur des journaux d’événements Windows, AmCache et les journaux Program Compatibility Assistant (PCA). Ils ont identifié l’installation d’un RMM ScreenConnect non autorisé, des transferts de fichiers suspects (r.ps1, s.exe, ss.exe) et une progression de l’attaque allant de l’accès RDP à l’exécution du ransomware. 🧭 ...

Selon Mimecast (Threat Research), une campagne de hameçonnage ciblé MCTO3030 vise spécifiquement les administrateurs cloud de ScreenConnect afin de dérober des identifiants de super administrateur. Les messages de spear phishing, envoyés à faible volume pour rester discrets, ciblent des profils IT seniors et redirigent vers de faux portails ScreenConnect, avec une connexion probable à des opérations de ransomware (affiliés Qilin), permettant un mouvement latéral rapide via le déploiement de clients ScreenConnect malveillants. ...

L’article publié sur CRN relate une cyberattaque subie par ConnectWise, une entreprise basée à Tampa, Floride. ConnectWise a récemment détecté une activité suspecte dans son environnement, attribuée à un acteur étatique sophistiqué. Cette attaque a conduit à un accès non autorisé à l’infrastructure cloud de ScreenConnect, affectant un nombre restreint de clients. Pour répondre à cet incident, ConnectWise a engagé Mandiant, un expert en forensique, pour mener une enquête approfondie. L’entreprise a informé tous les clients touchés et collabore avec les autorités compétentes. Des mesures de renforcement et de surveillance accrue ont été mises en place, incluant un patch pour ScreenConnect. ...