Les entreprises qui délèguent leur assistance informatique doivent vérifier les accès à distance utilisés par leur prestataire. La DGSSI a publié le 12 novembre une alerte sur une campagne visant des environnements ConnectWise ScreenConnect. L’éditeur a actualisé ses consignes le 13 novembre à 21:15 UTC.
Trois points concrets à demander
- Les extensions : pour une installation hébergée par le prestataire lui-même, vérifier et désactiver les extensions tierces désignées dans l’avis de l’éditeur, notamment celles de la famille RMM+. Une désactivation dans le cloud ne protège pas automatiquement une installation locale.
- Les postes des techniciens : contrôler que leurs clients ScreenConnect sont en version 26.6.5 ou ultérieure. Mettre à jour seulement la console ou le serveur ne confirme pas cette mise à niveau.
- Les traces d’accès : faire examiner les comptes administrateurs, commandes et connexions inhabituelles. En cas de suspicion, l’enquête doit utiliser un outil de sécurité distinct, pas ScreenConnect sur le poste suspect.
Mettre à jour n’efface pas une intrusion déjà présente
Les consignes de ConnectWise distinguent la désactivation des extensions et la mise à jour des clients : ces actions répondent à des risques différents. Elles ne remplacent pas l’investigation d’une éventuelle compromission. La présence d’une extension concernée ne prouve pas, à elle seule, qu’une entreprise a été piratée.
Commentaires