Le faux formulaire de remboursement, l'application de contrôle à distance, et le moment où ça se propage
ScreenConnect est un vrai produit. Les services informatiques s'en servent pour prendre la main sur un ordinateur à distance, ce qui explique pourquoi les escrocs l'adorent, et pourquoi une copie qui atterrit sur un PC familial est une très mauvaise nouvelle. Huntress a publié ses conclusions le 3 septembre, après avoir observé la même infection chez trois victimes sans lien entre elles fin août.
Les trois y sont arrivées par des chemins différents, et tous les trois sont des chemins qu'une personne normale pourrait suivre. La première s'est laissé guider dans une fausse session d'assistance Quick Assist. La deuxième a ouvert un e-mail d'hameçonnage contenant un fichier nommé ScreenConnect.ClientSetup.msi. La troisième cherchait un formulaire de remboursement Geek Squad, autrement dit la fin du plus vieil e-mail frauduleux du répertoire, et a exécuté un ScreenConnect.Client.exe malveillant. À partir de là, le client truqué lance quatre petits scripts, de 1.vbs à 4.vbs : le premier évalue la machine et repère quel logiciel de sécurité est installé, le deuxième récupère depuis Dropbox une liste chiffrée de charges utiles, et les deux derniers déchiffrent et exécutent ce à quoi la liste vous destine. On y a vu une porte dérobée cachée, des outils pour obtenir les droits administrateur, des logiciels de tunnel et un mineur de cryptomonnaie, plus des exclusions Defender pour que rien de tout cela ne soit examiné.
La touche la plus vicieuse est la propagation. Le client modifié détourne la fonction de transfert de fichiers de ScreenConnect pour pousser ces quatre scripts sur les machines qui s'y connectent : un ordinateur infecté peut donc transmettre le problème au système du technicien, et non l'inverse. ConnectWise conseille désormais de désactiver les autorisations de transfert de fichiers. À la maison, la règle est plus simple et plus ancienne : personne chez Best Buy, chez Microsoft ou à votre banque ne vous appellera jamais pour vous demander d'installer un logiciel de contrôle à distance. Si c'est déjà fait, Huntress est catégorique sur le remède, et ce n'est pas une analyse antivirus. La machine se réinstalle.
Tendvane vérifie si un logiciel d'accès à distance est installé sur votre PC dans le cadre de sa Vérification de sécurité, pour qu'un outil arrivé pendant un appel téléphonique que vous regrettez maintenant ne reste pas simplement là sans être remarqué.