Collecte des identifiants de super-administrateur de ScreenConnect

Présentation de la campagne

Samantha Clarke et l'équipe de recherche sur les menaces de Mimecast ont identifié une campagne de collecte d'identifiants (désignée sous le nom de MCTO3030) actuellement en cours, qui cible spécifiquement les administrateurs du service ScreenConnect dans le cloud. Cette opération sophistiquée a maintenu des tactiques, des techniques et des procédures constantes depuis 2022, faisant preuve d'une sécurité opérationnelle remarquable grâce à une distribution à faible volume qui lui a permis d'opérer sans être détectée pour l'essentiel.

Cette campagne utilise des e-mails de spear phishing envoyés via des comptes Amazon Simple Email Service (SES) et cible des professionnels chevronnés de l'informatique, notamment des directeurs, des responsables et des membres du personnel de sécurité disposant de privilèges élevés dans les environnements ScreenConnect. Les pirates recherchent tout particulièrement les identifiants de super-administrateur, qui leur permettent d'exercer un contrôle total sur l'infrastructure d'accès à distance de l'ensemble de l'entreprise.

Dès que l'utilisateur clique sur le bouton « Vérifier la sécurité », il est redirigé vers l'une des deux catégories de pages de Phishing suivantes :

Exemple 1

Exemple 2

Ce qui rend cette campagne particulièrement préoccupante, c'est son lien apparent avec des opérations de ransomware. Une étude de Sophos révèle que les affiliés du ransomware Qilin ciblent également ScreenConnect, ce qui laisse penser que ces activités de collecte d'identifiants servent de vecteurs d'accès initiaux pour le déploiement ultérieur du ransomware

Les identifiants de super-administrateur ainsi obtenus permettent aux attaquants de déployer simultanément des clients ou des instances ScreenConnect malveillants sur plusieurs terminaux, ce qui facilite les mouvements latéraux rapides et la diffusion de ransomware.